Une entreprise a migré une application web vers AWS. L'architecture utilise une distribution Amazon CloudFront qui transfère les requêtes vers un Application Load Balancer (ALB), et Amazon ECS gère le traitement de l'application. Un audit de sécurité a révélé que l'application est accessible directement via le domaine CloudFront et le point de terminaison de l'ALB. L'entreprise exige que l'application ne soit accessible que via CloudFront. Quelle solution permet d'y parvenir avec le MOINS d'effort ?

La solution la plus simple et la plus efficace consiste à restreindre l'accès à l'ALB en utilisant la liste de préfixes gérée par CloudFront, com.amazonaws.global.cloudfront.origin-facing. Cette liste contient les adresses IP que CloudFront utilise pour se connecter aux origines, garantissant que seul CloudFront peut atteindre l'ALB. Les autres options sont moins optimales : Créer un groupe de sécurité pour CloudFront n'est pas possible car CloudFront n'est pas une ressource EC2 à laquelle on peut attacher un groupe de sécurité. Utiliser un point de terminaison d'interface VPC et un ALB interne ne permettrait pas à CloudFront de se connecter à l'ALB, car CloudFront est un service public. Extraire manuellement les adresses IP de CloudFront du document ip-ranges.json est fastidieux, sujet aux erreurs et nécessite une maintenance constante car ces adresses peuvent changer. La liste de préfixes gérée est automatiquement mise à jour par AWS.