Une entreprise mondiale d'éducation exécute une application web sur ECS dans un groupe Auto Scaling derrière un ALB. Chaque semaine, le service d'authentification est submergé par une vague de tentatives de connexion échouées provenant d'environ 500 adresses IP qui changent chaque semaine. Un architecte de solutions doit empêcher ces tentatives de connexion échouées de surcharger le service d'authentification avec la plus grande efficacité opérationnelle. Quelle solution répond à cette exigence ?

La création d'une ACL web AWS WAF avec une règle basée sur le débit est la solution la plus efficace. Elle identifie et bloque automatiquement les adresses IP qui génèrent un nombre excessif de tentatives de connexion échouées, sans intervention manuelle hebdomadaire. L'association à l'ALB protège le service d'authentification en amont. Utiliser AWS Firewall Manager pour créer un groupe de sécurité bloquant les adresses IP est inefficace car les adresses IP changent chaque semaine, nécessitant une mise à jour manuelle constante. La même logique s'applique à la politique de groupe de sécurité qui autorise l'accès uniquement à partir de plages CIDR spécifiques. Créer une ACL web AWS WAF avec une règle de correspondance d'ensemble d'adresses IP est également inefficace pour la même raison : les adresses IP changent chaque semaine, rendant la liste obsolète rapidement.