Una empresa utiliza CloudFront con un origen de Application Load Balancer (ALB). El ingeniero de redes debe asegurarse de que todo el tráfico entrante al ALB se origine en CloudFront, y la aplicación de esta restricción debe realizarse en la capa de red en lugar de en la aplicación. ¿Cuál es la forma MÁS eficiente operativamente de cumplir este requisito?

La forma más eficiente operativamente es añadir una regla de entrada al grupo de seguridad del ALB que permita el tráfico desde la lista de prefijos gestionada por AWS para CloudFront. AWS mantiene automáticamente esta lista de prefijos actualizada, lo que elimina la necesidad de gestión manual y garantiza que solo el tráfico de CloudFront llegue al ALB. Las ACL de red (Network ACLs) son sin estado y operan a nivel de subred, lo que las hace menos granulares y más difíciles de gestionar que los grupos de seguridad para este caso de uso. Configurar un encabezado HTTP personalizado en CloudFront es una solución a nivel de aplicación, no a nivel de red, y requeriría que el ALB o la aplicación validaran el encabezado. Usar AWS WAF con una función Lambda para mantener las IP de CloudFront actualizadas es una solución más compleja y costosa operativamente, ya que implica la gestión de WAF y la función Lambda, y la lista de prefijos gestionada por AWS ya proporciona esta funcionalidad de forma nativa.