Une application web s'exécute sur des instances EC2 derrière un Application Load Balancer (ALB), et l'ALB est l'origine d'une distribution CloudFront. L'entreprise utilise un système d'authentification personnalisé qui émet un jeton aux clients authentifiés. L'application doit s'assurer que les requêtes GET/POST proviennent uniquement de clients authentifiés. Concevez la solution la PLUS efficace sur le plan opérationnel qui permette à l'application web d'identifier les clients autorisés.

La solution la plus efficace consiste à utiliser Lambda@Edge. Elle permet d'inspecter le jeton d'authentification au plus près de l'utilisateur (au niveau du CDN CloudFront) avant que la requête n'atteigne l'ALB et les instances EC2. Cela réduit la latence et la charge sur l'infrastructure backend. La fonction Lambda@Edge peut ensuite ajouter un en-tête personnalisé pour signaler l'authentification à l'application web. L'ALB ne peut pas inspecter directement le contenu de la charge utile GET/POST pour un jeton personnalisé ni ajouter un en-tête basé sur cette inspection. AWS WAF peut inspecter les requêtes, mais n'est pas conçu pour gérer la logique d'authentification personnalisée et insérer des en-têtes dynamiques de cette manière. Déployer une instance EC2 avec un outil tiers ajoute de la complexité, des coûts et un point de défaillance unique, ce qui est moins opérationnellement efficace.