Une entreprise exécute une application dans us-east-1 derrière un ALB qui reçoit des requêtes HTTPS de distributeurs automatiques du monde entier. Elle prévoit d'utiliser AWS Global Accelerator et de programmer les adresses IP statiques de l'accélérateur dans les distributeurs automatiques afin que l'application ne soit accessible que via l'accélérateur, et non directement via l'URL de l'ALB accessible sur Internet. Quelle configuration forcera l'accès uniquement via l'accélérateur ?

La bonne réponse est de placer l'ALB dans des sous-réseaux privés sans route vers une passerelle Internet. Cela empêche l'accès direct à l'ALB depuis Internet. Global Accelerator peut toujours atteindre l'ALB car il utilise le réseau interne d'AWS. Le groupe de sécurité de l'ALB doit autoriser le trafic entrant depuis Internet (0.0.0.0/0) car Global Accelerator utilise des adresses IP publiques pour se connecter aux points de terminaison. Les autres options sont incorrectes car : Placer l'ALB dans des sous-réseaux privés sans route vers une passerelle Internet mais avec un groupe de sécurité restreint aux adresses IP de l'accélérateur empêcherait Global Accelerator d'atteindre l'ALB. Placer l'ALB dans des sous-réseaux publics ou privés avec une route vers une passerelle Internet rendrait l'ALB directement accessible depuis Internet, contournant Global Accelerator. Restreindre le groupe de sécurité aux adresses IP de l'accélérateur n'est pas suffisant car les adresses IP de Global Accelerator ne sont pas statiques et peuvent changer.