Ein Unternehmen stellt proprietäre Inhalte über eine CloudFront-Distribution bereit und muss den Zugriff auf Benutzer aus den IP-Bereichen des Unternehmensbüros beschränken. Eine WAF-Web-ACL ist an die Distribution angehängt, und die Standardaktion der ACL ist derzeit „Count“. Was ist der Weg mit dem geringsten Betriebsaufwand, um den Zugriff nur aus den IP-Bereichen des Unternehmens zu erzwingen?

Die korrekte Lösung minimiert den Betriebsaufwand, indem sie die bestehende Web-ACL nutzt und die Standardaktion auf "Block" setzt. Anschließend wird eine Regel mit hoher Priorität (0) hinzugefügt, die den Datenverkehr aus dem AWS WAF IP-Adresssatz der Unternehmens-IPs explizit zulässt. Dies stellt sicher, dass nur autorisierte IPs Zugriff erhalten, während alle anderen blockiert werden. Die Option, eine neue Web-ACL mit Standardaktion "Allow" zu erstellen, ist ineffizient, da sie eine neue ACL erfordert und das Blockieren unerwünschten Datenverkehrs schwieriger macht. Die Verwendung von Regex-Muster-Sätzen für IP-Bereiche ist unnötig komplex, da AWS WAF dedizierte IP-Adresssätze für diesen Zweck bietet. Das Ändern der Standardaktion der bestehenden ACL auf "Allow" ohne eine Blockierregel würde den Zugriff für alle Benutzer öffnen, was nicht der Anforderung entspricht.