Una aplicación web utiliza Amazon CloudFront con dos orígenes personalizados: un origen reenvía a una API HTTP de Amazon API Gateway (que utiliza un autorizador JWT), y el otro origen reenvía a un Application Load Balancer (ALB). La aplicación utiliza un proveedor de identidad (IdP) OpenID Connect (OIDC). Una auditoría de seguridad encuentra que la API está protegida por un autorizador JWT, pero el ALB acepta solicitudes no autenticadas. ¿Cómo puede el arquitecto de soluciones asegurar que ambos orígenes de backend acepten solicitudes solo de usuarios autenticados?

La opción correcta es configurar el ALB para realizar autenticación y autorización integrando el ALB con el IdP OIDC. Los Application Load Balancers de AWS pueden integrarse directamente con proveedores de identidad OIDC para autenticar a los usuarios antes de reenviar las solicitudes a los destinos. Esto asegura que solo las solicitudes de usuarios autenticados lleguen a los servicios de backend del ALB, resolviendo el problema de seguridad. Las otras opciones son incorrectas porque: Usar URLs firmadas de CloudFront no es adecuado para la autenticación de usuarios interactiva y no aborda la autenticación en el ALB. AWS WAF es un firewall de aplicaciones web que filtra el tráfico en función de reglas, pero no realiza autenticación de usuarios directamente con un IdP OIDC. Habilitar CloudTrail y usar una función Lambda para analizar registros es una solución reactiva y compleja para la autenticación, no una medida de seguridad proactiva en el punto de entrada.