Eine Webanwendung verwendet Amazon CloudFront mit zwei benutzerdefinierten Ursprüngen: Ein Ursprung leitet an eine Amazon API Gateway HTTP API weiter (die einen JWT-Autorisierer verwendet), und der andere Ursprung leitet an einen Application Load Balancer (ALB) weiter. Die Anwendung verwendet einen OpenID Connect (OIDC)-Identitätsanbieter (IdP). Eine Sicherheitsprüfung stellt fest, dass die API durch einen JWT-Autorisierer geschützt ist, der ALB jedoch nicht authentifizierte Anfragen akzeptiert. Wie kann der Lösungsarchitekt sicherstellen, dass beide Backend-Ursprünge Anfragen nur von authentifizierten Benutzern akzeptieren?

Die Konfiguration des ALB zur Durchführung der Authentifizierung und Autorisierung durch Integration mit dem OIDC IdP ist die effektivste Lösung. ALBs unterstützen native OIDC-Integrationen, wodurch sie Anfragen authentifizieren können, bevor sie an die Backend-Ziele weitergeleitet werden. Dies stellt sicher, dass nur authentifizierte Benutzer auf die Dienste hinter dem ALB zugreifen können, ähnlich wie der JWT-Autorisierer die API Gateway schützt. Die Verwendung von signierten CloudFront-URLs ist für den Schutz von Inhalten gedacht, nicht für die Authentifizierung von Benutzern bei Backend-Diensten. Eine permissive Signaturrichtlinie würde zudem den Zweck der Sicherheit untergraben. AWS WAF kann zwar Anfragen filtern, ist aber kein Authentifizierungsdienst. Es kann keine Benutzer anhand von OIDC-Token authentifizieren, sondern nur auf Basis von Regeln blockieren. CloudTrail-Protokollierung und eine Lambda-Funktion zur Analyse sind eine reaktive Überwachungslösung, keine proaktive Authentifizierungsmethode, um unauthentifizierte Anfragen zu blockieren, bevor sie die Backend-Dienste erreichen.