Une application s'exécute sur des instances EC2 dans des sous-réseaux privés derrière un Application Load Balancer (ALB) accessible depuis Internet. L'ALB est l'origine d'une distribution CloudFront. Une ACL web WAF (avec des règles gérées par AWS) est attachée à la distribution CloudFront. L'entreprise souhaite empêcher tout trafic Internet d'atteindre directement l'ALB. Quelle option permet d'y parvenir avec le moins de frais opérationnels ?

L'option correcte est d'ajouter une règle de groupe de sécurité sur l'ALB qui autorise le trafic entrant uniquement depuis la liste de préfixes CloudFront gérée par AWS. Cette approche est la plus efficace et la moins coûteuse en termes de frais opérationnels car elle utilise une liste de préfixes gérée par AWS, qui est automatiquement mise à jour. Cela garantit que seul le trafic provenant de CloudFront peut atteindre l'ALB, bloquant ainsi l'accès direct depuis Internet. Les autres options sont moins optimales : Créer une nouvelle ACL web WAF et l'associer à l'ALB doublerait les coûts WAF et la gestion des règles. Associer l'ACL web CloudFront existante à l'ALB n'est pas possible car une ACL web WAF est spécifique à la ressource à laquelle elle est attachée (CloudFront ou ALB). Autoriser le trafic uniquement depuis les plages d'adresses IP CloudFront actuelles nécessiterait une gestion manuelle constante pour mettre à jour ces plages, car elles peuvent changer fréquemment, ce qui augmenterait considérablement les frais opérationnels.