Dopo un evento DDoS contro un Application Load Balancer (ALB) pubblico, un'azienda ha posizionato Amazon CloudFront davanti all'ALB. Tuttavia, alcuni client raggiungono ancora l'ALB direttamente e le istanze Amazon EC2 continuano a servire quel traffico. Quale combinazione di azioni garantisce che le istanze EC2 ricevano solo richieste che provengono da CloudFront? (Scegli due.)

Per garantire che solo le richieste provenienti da CloudFront raggiungano l'ALB e le istanze EC2, è necessario implementare un meccanismo di verifica. La configurazione di CloudFront per aggiungere un'intestazione HTTP personalizzata (ad esempio, X-From-CloudFront: true) a tutte le richieste che inoltra all'ALB è il primo passo. Successivamente, l'ALB deve essere configurato (tramite regole del listener o un WAF) per accettare e inoltrare solo le richieste che contengono questa specifica intestazione personalizzata. Le richieste prive di tale intestazione verrebbero bloccate dall'ALB, impedendo l'accesso diretto. Le altre opzioni non risolvono il problema dell'accesso diretto. L'uso di una policy della chiave di cache con un'intestazione personalizzata non impedisce l'accesso diretto all'ALB. L'intestazione X-Forwarded-For è per tracciare l'IP del client originale, non per autenticare la fonte della richiesta. L'uso dello stesso certificato ACM garantisce la crittografia, ma non controlla la provenienza delle richieste.