Una empresa ejecuta una aplicación serverless pública utilizando Amazon API Gateway y AWS Lambda. El tráfico se disparó recientemente debido a solicitudes fraudulentas de botnets. ¿Qué pasos debe seguir un arquitecto de soluciones para bloquear las solicitudes de usuarios no autorizados? (Elija dos opciones).

Para bloquear solicitudes no autorizadas, la creación de un plan de uso con una clave de API (API key) permite controlar el acceso y limitar el uso a usuarios genuinos, ya que las solicitudes sin una clave válida o con una clave revocada serán rechazadas. Implementar una regla de AWS WAF (Web Application Firewall) es crucial porque WAF puede inspeccionar el tráfico web y bloquear solicitudes maliciosas basándose en patrones, direcciones IP de botnets conocidas, o tasas de solicitudes excesivas, protegiendo así el API Gateway y Lambda de ataques distribuidos o intentos de fraude. La lógica en Lambda para ignorar IPs fraudulentas es reactiva y menos eficiente que WAF, requiriendo actualizaciones constantes del código. Convertir la API en privada la haría inaccesible públicamente, lo cual contradice el requisito de una aplicación "pública". Los roles de IAM son para autenticación y autorización de usuarios de AWS, no para controlar el acceso de usuarios públicos a una API.