Ein Medizintechnikunternehmen betreibt eine REST-API auf EC2-Instances in einer Auto Scaling-Gruppe hinter einem Application Load Balancer (ALB). Der ALB befindet sich in drei öffentlichen Subnetzen und die EC2-Instances in drei privaten Subnetzen. Eine CloudFront-Distribution verwendet den ALB als Origin. Was sollte ein Solutions Architect empfehlen, um die Origin-Sicherheit (Schutz des ALB vor direktem Zugriff) für Anfragen von CloudFront zu erhöhen?

Die korrekte Option implementiert einen benutzerdefinierten Header, der nur von CloudFront gesendet wird. AWS WAF am ALB überprüft diesen Header und blockiert Anfragen ohne den korrekten Wert, wodurch direkter Zugriff auf den ALB verhindert wird. Secrets Manager mit Lambda sorgt für sichere Rotation des Geheimnisses. Die Option mit IP-Adressbereichen ist unsicher, da CloudFront-IPs öffentlich sind und sich ändern können. Das Verschieben des ALB in private Subnetze würde ihn für CloudFront unerreichbar machen, da CloudFront öffentliche IPs benötigt, um auf den ALB zuzugreifen. Die Option mit Systems Manager Parameter Store ist weniger sicher als Secrets Manager, da Secrets Manager speziell für die Verwaltung und Rotation von Geheimnissen konzipiert ist. Die Überprüfung des Headers durch den ALB oder das Backend ist auch weniger effizient als eine WAF-Regel. AWS Shield Advanced ist ein DDoS-Schutzdienst und bietet keine spezifische Lösung für die Origin-Sicherheit durch Header-Validierung. Sicherheitsgruppenregeln auf IP-Basis sind, wie oben erwähnt, nicht ausreichend, da CloudFront-IPs dynamisch sind.