Eine Anwendung bedient Clients in mehr als 20.000 Einzelhandelsgeschäften weltweit. Backend-Webservices laufen auf Amazon EC2 hinter einem Application Load Balancer (ALB) und werden über HTTPS auf Port 443 bereitgestellt. Die Einzelhandelsstandorte kommunizieren über das öffentliche Internet und registrieren ihre zugewiesene ISP-IP-Adresse. Das Sicherheitsteam möchte den Zugriff nur auf die registrierten IP-Adressen beschränken. Was sollte ein Solutions Architect tun?

Die Verknüpfung einer AWS WAF Web-ACL mit dem ALB und die Verwendung von IP-Regelsätzen ist die effektivste Lösung. AWS WAF ermöglicht das Filtern von Webanfragen basierend auf IP-Adressen, HTTP-Headern und anderen Kriterien, bevor sie den ALB erreichen. Dies bietet eine granulare Kontrolle und ist speziell für den Schutz von Webanwendungen konzipiert. Die IP-Adressen können in der WAF-Regel einfach aktualisiert werden. AWS Firewall Manager ist für die zentrale Verwaltung von WAF-Regeln über mehrere Konten und Ressourcen hinweg gedacht, wäre hier aber überdimensioniert und komplexer als nötig für einen einzelnen ALB. Eine Lambda-Autorisierungsfunktion würde zusätzliche Latenz hinzufügen und ist komplexer als die native WAF-Funktionalität. Netzwerk-ACLs sind zustandslos, auf Subnetzebene und würden für jede IP-Adresse eine separate Regel erfordern, was bei 20.000 Standorten unpraktisch und schwer zu verwalten wäre.