Una empresa médica ejecuta una API REST en instancias EC2 en un grupo de Auto Scaling detrás de un Application Load Balancer (ALB). El ALB está en tres subredes públicas y las instancias EC2 están en tres subredes privadas. Una distribución de CloudFront utiliza el ALB como origen. ¿Qué debería recomendar un arquitecto de soluciones para fortalecer la seguridad del origen (protegiendo el ALB del acceso directo) para las solicitudes que provienen de CloudFront?

La opción correcta utiliza AWS Secrets Manager para almacenar un secreto rotativo, CloudFront para agregar este secreto como un encabezado HTTP personalizado a las solicitudes de origen, y AWS WAF para inspeccionar este encabezado en el ALB. Esto asegura que solo las solicitudes que provienen de CloudFront con el encabezado y valor correctos sean permitidas, protegiendo el origen del acceso directo. La opción de coincidencia de IP de CloudFront no es ideal porque los rangos de IP de CloudFront son extensos y pueden cambiar, además de que mover el ALB a subredes privadas lo haría inaccesible para CloudFront, que requiere un origen público o un PrivateLink. La opción de Parameter Store y que el ALB o el backend inspeccionen el encabezado es menos eficiente y segura que usar WAF, ya que descarga la lógica de seguridad al ALB o a las instancias. Habilitar AWS Shield Advanced es para protección DDoS y no para restringir el acceso al origen, y una política de grupo de seguridad basada en IP de CloudFront es menos robusta que la validación de encabezados.