Nach einem DDoS-Angriff auf einen öffentlichen Application Load Balancer (ALB) hat ein Unternehmen Amazon CloudFront vor den ALB geschaltet. Einige Clients erreichen den ALB jedoch immer noch direkt, und die Amazon EC2-Instances bedienen diesen Traffic weiterhin. Welche Kombination von Maßnahmen stellt sicher, dass die EC2-Instances nur Anfragen erhalten, die über CloudFront kommen? (Wählen Sie zwei.)

Um sicherzustellen, dass nur Anfragen über CloudFront den ALB erreichen, müssen Sie CloudFront so konfigurieren, dass es einen spezifischen, benutzerdefinierten HTTP-Header zu allen Anfragen hinzufügt, die es an den ALB weiterleitet. Anschließend muss der ALB so konfiguriert werden, dass er nur Anfragen mit diesem spezifischen Header akzeptiert und alle anderen Anfragen ablehnt. Dies schafft eine Vertrauenskette, bei der der ALB nur Traffic von CloudFront verarbeitet. Die Konfiguration einer Cache-Schlüsselrichtlinie ist für die Caching-Logik relevant, nicht für die Zugriffssteuerung. Die Verwendung des X-Forwarded-For-Headers dient der Überprüfung der Client-IP-Adresse, nicht der Sicherstellung des CloudFront-Ursprungs. Die Verwendung desselben X.509-Zertifikats gewährleistet die TLS-Verschlüsselung, aber nicht, dass der Traffic ausschließlich von CloudFront stammt.