Una empresa migró una aplicación web a AWS. La arquitectura utiliza una distribución de Amazon CloudFront que reenvía las solicitudes a un Application Load Balancer (ALB), y Amazon ECS se encarga del procesamiento de la aplicación. Una auditoría de seguridad encontró que la aplicación es accesible directamente tanto a través del dominio de CloudFront como del endpoint del ALB. La empresa requiere que la aplicación sea accesible solo a través de CloudFront. ¿Qué solución logra esto con el MENOR esfuerzo?

La opción correcta es actualizar la entrada del grupo de seguridad del ALB para permitir el acceso solo desde la lista de prefijos administrada de CloudFront com.amazonaws.global.cloudfront.origin-facing. Esta es la solución de menor esfuerzo porque AWS mantiene automáticamente esta lista de prefijos, que incluye todas las direcciones IP de CloudFront. Al configurar el grupo de seguridad del ALB para permitir el tráfico solo desde esta lista, se asegura que únicamente CloudFront pueda acceder al ALB, bloqueando el acceso directo. Las otras opciones son incorrectas o requieren más esfuerzo: Crear un nuevo grupo de seguridad para CloudFront no es aplicable, ya que CloudFront no se asocia directamente con grupos de seguridad de esta manera. Crear un VPC interface endpoint para Elastic Load Balancing y cambiar el ALB a interno no es una solución adecuada para una aplicación web que debe ser accesible públicamente a través de CloudFront. Extraer manualmente las direcciones IP de CloudFront del documento ip-ranges.json es propenso a errores y requiere un mantenimiento constante, ya que estas direcciones pueden cambiar.