Eine Anwendung läuft auf EC2-Instances in privaten Subnetzen hinter einem Internet-facing Application Load Balancer (ALB). Der ALB ist der Ursprung für eine CloudFront-Distribution. Eine WAF Web-ACL (mit AWS Managed Rules) ist an die CloudFront-Distribution angehängt. Das Unternehmen möchte verhindern, dass Internet-Traffic den ALB direkt erreicht. Welche Option erreicht dies mit dem geringsten Betriebsaufwand?

Die korrekte Option ist, eine Sicherheitsgruppenregel auf dem ALB hinzuzufügen, die eingehenden Traffic nur von der AWS-verwalteten CloudFront-Präfixliste zulässt. Dies ist die effizienteste Methode, um sicherzustellen, dass nur Traffic von CloudFront den ALB erreicht. Die AWS-verwaltete Präfixliste (z.B. com.amazonaws.global.cloudfront.origin-facing) wird automatisch von AWS aktualisiert, wenn sich die IP-Adressbereiche von CloudFront ändern, wodurch der Betriebsaufwand minimiert wird. Das Erstellen einer neuen WAF Web-ACL oder das Verknüpfen der bestehenden Web-ACL mit dem ALB ist nicht ausreichend, da WAF den Zugriff auf den ALB nicht vollständig blockiert, sondern nur Anfragen filtert. Der Traffic würde den ALB weiterhin direkt erreichen. Das manuelle Hinzufügen der aktuellen CloudFront-IP-Adressbereiche ist betriebsaufwändig, da diese sich ändern können und manuell aktualisiert werden müssten.