Un développeur expose une API web via un Application Load Balancer (ALB) accessible sur Internet, en utilisant un écouteur HTTPS, et a configuré un groupe d'utilisateurs Amazon Cognito. Le développeur souhaite s'assurer que chaque requête vers l'API est authentifiée via Cognito. Que doit-il faire ?

L'action authenticate-cognito de l'ALB est la solution la plus directe et gérée pour intégrer l'authentification Amazon Cognito. En la configurant avec OnUnauthenticatedRequest sur "deny", l'ALB refusera les requêtes non authentifiées avant qu'elles n'atteignent l'API, garantissant ainsi que seules les requêtes validées par Cognito sont transmises. Les autres options sont moins efficaces ou plus complexes : Renvoyer une réponse fixe 401 ne gère pas l'authentification elle-même ; cela ne fait que rejeter les requêtes sans en-tête, sans valider les jetons. Placer API Gateway devant l'ALB est une solution valide mais ajoute une couche de complexité et de coût inutile si l'ALB peut gérer l'authentification directement. Utiliser une fonction Lambda pour valider l'en-tête Authorization est une approche manuelle qui nécessite de gérer le code d'authentification et la mise à l'échelle de Lambda, alors que l'ALB offre une intégration native et gérée.