应用程序可以通过 CloudFront 分配和直接通过面向 Internet 的 Application Load Balancer (ALB) 访问。管理员必须确保应用程序只能通过 CloudFront 访问，而不能直接通过 ALB 访问，并且不能修改应用程序代码。哪种配置可以实现此目的？

正确答案通过在 CloudFront 源配置中添加自定义 HTTP 标头，并在 ALB 侦听器规则中检查此标头，确保只有来自 CloudFront 的请求才能到达 ALB。如果请求不包含该标头，ALB 将返回 403 错误，从而阻止直接访问。 将 ALB 转换为内部类型并不能阻止直接访问，因为 CloudFront 无法访问内部 ALB。Lambda@Edge 函数虽然可以实现此目的，但需要编写和维护代码，这与题目中“不能修改应用程序代码”的要求不符。用新的内部 ALB 替换公共 ALB 同样无法被 CloudFront 访问，并且配置自定义标头和 ALB 规则的描述不完整，无法确保 CloudFront 能够访问。