Una aplicación atiende a clientes en más de 20.000 tiendas minoristas en todo el mundo. Los servicios web de backend se ejecutan en Amazon EC2 detrás de un Application Load Balancer (ALB) y se exponen a través de HTTPS en el puerto 443. Las ubicaciones minoristas se comunican a través de la internet pública y registran su dirección IP de ISP asignada. El equipo de seguridad quiere restringir el acceso solo a las direcciones IP registradas. ¿Qué debe hacer un arquitecto de soluciones?

La opción correcta es asociar una ACL web de AWS WAF con el ALB y usar conjuntos de reglas de IP. AWS WAF permite filtrar el tráfico web basándose en condiciones como las direcciones IP de origen. Al actualizar las reglas de IP en WAF con las direcciones registradas, se restringe el acceso eficazmente. Implementar AWS Firewall Manager no es la solución más directa para este caso, ya que WAF es suficiente y Firewall Manager se usa más para administrar reglas de firewall a gran escala en varias cuentas. Almacenar direcciones IP en DynamoDB con una función Lambda para autorización introduce complejidad innecesaria y latencia, ya que WAF ofrece una solución nativa y más eficiente. Configurar la ACL de red en la subred del ALB no es práctico porque las ACL de red son sin estado y se aplican a nivel de subred, lo que dificultaría la gestión de miles de direcciones IP cambiantes y no es el lugar adecuado para la filtración de tráfico a nivel de aplicación.