Un'applicazione è raggiungibile sia tramite una distribuzione CloudFront sia direttamente tramite un Application Load Balancer (ALB) rivolto verso internet. L'amministratore deve assicurarsi che l'applicazione sia accessibile solo tramite CloudFront e non direttamente tramite l'ALB, senza modificare il codice dell'applicazione. Quale configurazione realizza questo obiettivo?

L'opzione corretta garantisce che solo le richieste provenienti da CloudFront raggiungano l'ALB. Aggiungendo un header HTTP personalizzato nella configurazione dell'origine di CloudFront, CloudFront includerà sempre questo header nelle richieste all'ALB. Una regola del listener dell'ALB può quindi essere configurata per consentire il traffico solo se questo header specifico è presente e ha il valore atteso, bloccando (restituendo 403) tutte le altre richieste dirette all'ALB. Questo metodo non richiede modifiche al codice dell'applicazione. Le altre opzioni sono meno efficaci o più complesse. Convertire l'ALB in interno non lo rende accessibile a CloudFront senza configurazioni aggiuntive. Lambda@Edge aggiunge complessità e costi per una funzionalità che può essere gestita dall'ALB. Sostituire l'ALB pubblico con uno interno e poi aggiungere un header è ridondante e meno diretto dell'approccio corretto.