Eine globale Nachrichtenseite verwendet CloudFront mit einer benutzerdefinierten Domain service.example.com und einem ALB-Ursprung unter service-alb.example.com. Die Backend-EC2-Windows-Instanzen befinden sich in einer Auto Scaling-Gruppe hinter dem ALB. Die Sicherheitsrichtlinie erfordert eine Verschlüsselung während der Übertragung für den gesamten Pfad von den Benutzern zum Backend. Welche Kombination von Änderungen ist erforderlich, um diese Richtlinie zu erfüllen? (Wählen Sie drei aus.)

Um die End-to-End-Verschlüsselung zu gewährleisten, müssen alle drei Verbindungssegmente gesichert werden: Client zu CloudFront, CloudFront zu ALB und ALB zu EC2. 1. Client zu CloudFront: Ein ACM-Zertifikat für service.example.com auf CloudFront sichert die Verbindung vom Benutzer zur Edge-Location. Die Umleitung von HTTP auf HTTPS stellt sicher, dass immer verschlüsselte Verbindungen verwendet werden. 2. CloudFront zu ALB: Ein ACM-Zertifikat für service-alb.example.com auf dem ALB und ein HTTPS-Listener stellen sicher, dass CloudFront über HTTPS mit dem ALB kommuniziert. Das Löschen des HTTP-Listeners auf dem ALB verhindert unverschlüsselte Verbindungen. 3. ALB zu EC2: Ein öffentliches Zertifikat eines Drittanbieters auf den EC2-Instanzen und eine Zielgruppe, die HTTPS für ihre Ziele verwendet, sichern die Verbindung vom ALB zu den Backend-Instanzen. ACM kann keine Zertifikate für EC2-Instanzen bereitstellen, daher ist ein Drittanbieterzertifikat erforderlich. Die Option mit dem selbstsignierten Zertifikat ist falsch, da selbstsignierte Zertifikate von Browsern und CloudFront nicht standardmäßig vertraut werden und zu Fehlern führen würden. Die Option, ein ACM-Zertifikat für EC2-Instanzen zu erstellen, ist falsch, da ACM keine Zertifikate für die Installation auf EC2-Instanzen ausstellt.