Una aplicación se ejecuta en instancias EC2 en subredes privadas detrás de un Application Load Balancer (ALB) con acceso a internet. El ALB es el origen de una distribución de CloudFront. Una ACL web de WAF (con reglas administradas por AWS) está asociada a la distribución de CloudFront. La empresa quiere evitar que el tráfico de internet llegue directamente al ALB. ¿Qué opción logra esto con la menor sobrecarga operativa?

La opción correcta es agregar una regla de grupo de seguridad en el ALB que permita el tráfico entrante solo desde la lista de prefijos de CloudFront administrada por AWS. Esta es la solución más eficiente operativamente porque utiliza una lista de prefijos de IP mantenida por AWS, que se actualiza automáticamente, asegurando que solo CloudFront pueda acceder al ALB. Crear una nueva ACL web de WAF para el ALB duplica el esfuerzo y la configuración, aumentando la sobrecarga operativa. Asociar la ACL web de CloudFront existente directamente con el ALB no es posible, ya que las ACL web de WAF asociadas a CloudFront son diferentes de las que se asocian a un ALB. Permitir el tráfico solo desde los rangos de IP actuales de CloudFront requeriría actualizaciones manuales constantes, ya que estas direcciones IP cambian con frecuencia, lo que resulta en una alta sobrecarga operativa y posibles interrupciones del servicio.