Ein Entwickler stellt eine Web-API über einen zum Internet gerichteten Application Load Balancer (ALB) mit einem HTTPS-Listener bereit und hat einen Amazon Cognito-Benutzerpool konfiguriert. Der Entwickler möchte sicherstellen, dass jede Anfrage an die API über Cognito authentifiziert wird. Was sollte getan werden?

Die korrekte Antwort ist, eine authenticate-cognito-Aktion zu den ALB-Listener-Regeln hinzuzufügen und OnUnauthenticatedRequest auf „deny“ zu setzen. Der Application Load Balancer (ALB) unterstützt native Integrationen mit Amazon Cognito, um Benutzer zu authentifizieren. Durch die Konfiguration einer authenticate-cognito-Aktion wird der ALB die Authentifizierung über den angegebenen Cognito-Benutzerpool durchführen. Das Setzen von OnUnauthenticatedRequest auf „deny“ stellt sicher, dass Anfragen ohne gültige Authentifizierung abgelehnt werden, was die Anforderung erfüllt, dass jede Anfrage authentifiziert werden muss. Eine feste 401-Antwort ist nicht ausreichend, da sie keine tatsächliche Authentifizierung durchführt. Das Voranstellen von API Gateway würde zwar funktionieren, ist aber in diesem Szenario unnötig, da der ALB die Cognito-Authentifizierung direkt handhaben kann. Eine Lambda-Funktion zur Validierung des Authorization-Headers wäre eine manuelle Implementierung, die die native und effizientere ALB-Cognito-Integration umgeht und zusätzlichen Entwicklungsaufwand erfordert.