Eine Webanwendung läuft auf EC2-Instances in einer Auto Scaling-Gruppe hinter einem öffentlichen Application Load Balancer (ALB). Nur Benutzer aus einem bestimmten Land sollen auf die Anwendung zugreifen können. Das Unternehmen muss auch blockierte Zugriffsanfragen protokollieren. Die Lösung sollte einen minimalen Wartungsaufwand erfordern. Welcher Ansatz erfüllt diese Anforderungen?

Die korrekte Antwort ist die Verwendung von AWS WAF mit einer geografischen Match-Regel. AWS WAF ermöglicht die Filterung von Webanfragen basierend auf dem Herkunftsland des Clients, was die Anforderung erfüllt, nur Benutzern aus einem bestimmten Land den Zugriff zu gestatten. Die Web-ACL wird direkt mit dem ALB verknüpft und blockiert Anfragen, die nicht den Kriterien entsprechen. AWS WAF protokolliert auch alle Anfragen, einschließlich der blockierten, was die zweite Anforderung erfüllt. Dieser Ansatz erfordert minimalen Wartungsaufwand, da AWS WAF die IP-Bereiche für Länder automatisch verwaltet. Die Erstellung eines IPSet mit manuell gepflegten IP-Bereichen ist wartungsintensiv und fehleranfällig, da sich IP-Bereiche ändern können. AWS Shield ist ein DDoS-Schutzdienst und bietet keine geografische Filterung auf Länderebene. Sicherheitsgruppen können keine geografischen Filter auf Länderebene anwenden; sie arbeiten mit spezifischen IP-Adressen oder -Bereichen, was ebenfalls einen hohen Wartungsaufwand bedeuten würde.