一家公司正在使用 Amazon API Gateway 和 AWS Lambda 运行一个公共无服务器应用程序。最近，由于欺诈性僵尸网络请求，流量激增。解决方案架构师应采取哪些步骤来阻止来自未经授权用户的请求？（选择两项）

创建仅与真实用户共享的带有 API key 的使用计划是正确的，因为 API Gateway 的使用计划允许您通过 API 密钥来限制和控制对 API 的访问，有效阻止未经授权的机器人请求。实施 AWS WAF 规则以定位恶意请求并采取措施将其过滤掉也是正确的，因为 AWS WAF 是一种 Web 应用程序防火墙，可以帮助保护您的 API 免受常见的 Web 漏洞和机器人攻击，通过定义规则来过滤掉恶意流量。 在 Lambda 函数中添加逻辑来忽略来自已知欺诈性 IP 地址的请求是次优的，因为这会将安全逻辑推到业务逻辑层，增加了 Lambda 函数的复杂性，并且维护一个不断变化的欺诈性 IP 地址列表效率低下。将现有的公共 API 转换为私有 API 会使其无法从公共互联网访问，这与公共无服务器应用程序的用例相矛盾。为每个用户创建 IAM 角色并要求其承担角色过于复杂且不适用于公共应用程序，IAM 角色更适用于 AWS 内部资源访问控制。