Eine nicht authentifizierte statische Website (www.example.com), die auf Amazon S3 gehostet und über CloudFront bereitgestellt wird, verwendet AWS WAF. Die Website enthält ein Registrierungsformular, das einen Amazon API Gateway-Endpunkt aufruft, der eine Lambda-Funktion aufruft, die Daten an eine externe API weiterleitet. Während des Tests löst die Übermittlung einen CORS-Fehler aus. Der CloudFront-Ursprung ist so konfiguriert, dass er einen Access-Control-Allow-Origin-Header enthält, der auf www.example.com gesetzt ist. Was sollte der Lösungsarchitekt tun, um den CORS-Fehler zu beheben?

Der CORS-Fehler tritt auf, weil die statische Website auf www.example.com gehostet wird und versucht, eine Ressource von einem anderen Ursprung (dem API Gateway-Endpunkt) zu laden. Um dies zu beheben, muss der Server, der die Ressource bereitstellt (in diesem Fall API Gateway), die Cross-Origin-Anfragen zulassen. Die Aktivierung von CORS am API Gateway-API-Endpunkt ist die korrekte Lösung. API Gateway kann so konfiguriert werden, dass es die erforderlichen Access-Control-Allow-Origin-Header in seinen Antworten enthält, die www.example.com als zulässigen Ursprung angeben. Dies ermöglicht es dem Browser, die Antwort der API zu akzeptieren. Die S3-Bucket-CORS-Konfiguration ist für den Inhalt des Buckets selbst relevant, nicht für Aufrufe an externe APIs. AWS WAF ist eine Web Application Firewall und hat keine direkte Funktion zur Behebung von CORS-Fehlern durch das Setzen von Headern. Die Lambda-Funktion ist zwar die Backend-Logik, aber API Gateway ist der Punkt, an dem die CORS-Header für die API-Antworten konfiguriert werden sollten, bevor die Antwort an den Client zurückgeht.