Un desarrollador expone una API web a través de un Application Load Balancer (ALB) con acceso a internet, utilizando un listener HTTPS, y ha configurado un grupo de usuarios de Amazon Cognito. El desarrollador quiere asegurarse de que cada solicitud a la API sea autenticada a través de Cognito. ¿Qué se debe hacer?

La opción correcta es añadir una acción authenticate-cognito a las reglas del listener del ALB y establecer OnUnauthenticatedRequest en "deny". Esta es la forma nativa y más eficiente de integrar la autenticación de Amazon Cognito directamente con un ALB. Al configurar esta acción, el ALB se encarga de redirigir a los usuarios no autenticados a la página de inicio de sesión de Cognito y de validar los tokens de Cognito antes de reenviar la solicitud a los destinos. Establecer OnUnauthenticatedRequest en "deny" asegura que solo las solicitudes autenticadas lleguen a la API. Las otras opciones son incorrectas porque: Devolver una respuesta fija 401 no maneja la autenticación ni la redirección a Cognito. Poner API Gateway delante del ALB es una solución válida para la autenticación con Cognito, pero la pregunta busca la solución con el ALB, y la integración directa del ALB con Cognito es más sencilla en este caso. Usar una Lambda para validar el encabezado Authorization es una solución manual y más compleja que la integración nativa del ALB, lo que añade latencia y mantenimiento.