Una aplicación web se ejecuta en instancias EC2 detrás de un Application Load Balancer (ALB), y el ALB es el origen de una distribución de CloudFront. La empresa utiliza un sistema de autenticación personalizado que emite un token a los clientes autenticados. La aplicación debe garantizar que las solicitudes GET/POST provengan solo de clientes autenticados. Diseñe la solución MÁS eficiente operativamente que permita a la aplicación web identificar a los clientes autorizados.

La opción correcta es usar Lambda@Edge. Lambda@Edge se ejecuta en las ubicaciones perimetrales de CloudFront, lo que permite inspeccionar y modificar las solicitudes HTTP antes de que lleguen al ALB y a las instancias EC2. Esto es operativamente eficiente porque la autenticación se realiza lo más cerca posible del usuario, reduciendo la carga en los recursos de backend y mejorando la latencia. La función puede inspeccionar el token y añadir un encabezado personalizado que la aplicación web puede verificar, garantizando que solo las solicitudes autenticadas lleguen a la aplicación. Las otras opciones son menos eficientes: Inspeccionar el token en el ALB con Lambda requeriría que todas las solicitudes lleguen al ALB, lo que es menos eficiente que Lambda@Edge. AWS WAF no está diseñado para inspeccionar tokens de autenticación complejos dentro del payload de GET/POST de forma nativa para este tipo de lógica. Una instancia EC2 con una herramienta de terceros introduce un punto único de fallo, mayor complejidad de gestión y latencia adicional, lo cual es ineficiente y no escalable.