Une application sert des clients dans plus de 20 000 points de vente au détail dans le monde entier. Les services web backend s'exécutent sur Amazon EC2 derrière un Application Load Balancer (ALB) et sont exposés via HTTPS sur le port 443. Les points de vente communiquent via l'internet public et enregistrent leur adresse IP de FAI allouée. L'équipe de sécurité souhaite restreindre l'accès uniquement aux adresses IP enregistrées. Que doit faire un architecte de solutions ?

L'association d'une ACL web AWS WAF à l'ALB et l'utilisation d'ensembles de règles IP sont la solution la plus efficace et évolutive. AWS WAF permet de créer des règles basées sur l'adresse IP source et de les mettre à jour dynamiquement, ce qui est idéal pour gérer un grand nombre d'adresses IP changeantes. Déployer AWS Firewall Manager est une option pour gérer les pare-feu à grande échelle, mais WAF est plus direct pour ce cas d'utilisation spécifique de filtrage IP sur un ALB. Stocker les adresses IP dans DynamoDB avec une fonction Lambda ajouterait une complexité inutile et une latence potentielle, car WAF offre déjà cette fonctionnalité de manière native et optimisée. Configurer l'ACL réseau sur le sous-réseau de l'ALB n'est pas pratique pour 20 000 adresses IP, car les ACL réseau ont des limites strictes sur le nombre de règles et sont moins flexibles que WAF pour la gestion d'adresses IP dynamiques.