Une entreprise utilise CloudFront avec une origine Application Load Balancer (ALB). L'ingénieur réseau doit s'assurer que tout le trafic entrant vers l'ALB provient de CloudFront, et que l'application de cette règle est effectuée au niveau de la couche réseau plutôt qu'au niveau de l'application. Quelle est la solution la PLUS efficace sur le plan opérationnel pour répondre à cette exigence ?

La solution la plus efficace est d'ajouter une règle entrante au groupe de sécurité de l'ALB pour autoriser le trafic provenant de la liste de préfixes gérée par AWS pour CloudFront. Les groupes de sécurité opèrent au niveau de la couche réseau et sont intrinsèquement liés aux instances ou aux ALB, offrant une protection immédiate et gérée par AWS des adresses IP de CloudFront. L'utilisation des ACL réseau est moins granulaire et plus complexe à gérer pour ce cas d'usage spécifique. L'ajout d'un en-tête HTTP personnalisé ne garantit pas que le trafic provient uniquement de CloudFront au niveau réseau, car il peut être falsifié. L'utilisation d'AWS WAF avec une Lambda pour maintenir les adresses IP à jour est une solution plus complexe et coûteuse, et WAF opère à la couche application, ce qui ne répond pas à l'exigence de protection au niveau réseau.