一家医疗公司在 Auto Scaling 组中的 EC2 实例上运行 REST API，这些实例位于 Application Load Balancer (ALB) 之后。ALB 位于三个公共子网中，EC2 实例位于三个私有子网中。CloudFront 分配使用 ALB 作为源。解决方案架构师应推荐什么来加强源安全性（保护 ALB 免受直接访问），以应对来自 CloudFront 的请求？

正确答案通过在 CloudFront 和 ALB 之间建立共享密钥来增强源安全性。将随机密钥字符串存储在 Secrets Manager 中并自动轮换，确保了密钥的机密性和定期更新。CloudFront 在请求中添加此密钥作为自定义 HTTP 标头，而 WAF Web ACL 则检查此标头。只有包含正确密钥的请求才能通过 WAF 访问 ALB，从而有效阻止了对 ALB 的直接访问。 其他选项的不足之处： 将 ALB 移动到私有子网会使其无法直接从公共互联网访问，但 CloudFront 无法访问私有子网中的 ALB，因此此方案不可行。 仅使用 CloudFront 的 IP 地址范围进行过滤是不可靠的，因为这些 IP 地址可能会发生变化，并且可能被滥用。 尽管 Systems Manager Parameter Store 可以存储密钥，但其自动轮换功能不如 Secrets Manager 强大和集成。此外，让 ALB 或后端应用程序检查标头会增加其处理负担，不如 WAF 在边缘进行过滤高效。 AWS Shield Advanced 主要用于 DDoS 防护，不提供基于自定义 HTTP 标头的源访问控制。