Un'applicazione serve clienti in oltre 20.000 punti vendita al dettaglio in tutto il mondo. I servizi web di backend vengono eseguiti su Amazon EC2 dietro un Application Load Balancer (ALB) e sono esposti su HTTPS sulla porta 443. I punti vendita comunicano tramite la rete internet pubblica e registrano il loro indirizzo IP ISP assegnato. Il team di sicurezza desidera limitare l'accesso solo agli indirizzi IP registrati. Cosa dovrebbe fare un architetto di soluzioni?

La risposta corretta è associare una web ACL di AWS WAF all'ALB e utilizzare set di regole IP. AWS WAF è progettato per filtrare il traffico web in base a condizioni come gli indirizzi IP di origine, consentendo di specificare un elenco di indirizzi IP consentiti. Questo approccio è scalabile e gestibile per un gran numero di indirizzi IP, come 20.000 punti vendita. Distribuire AWS Firewall Manager è eccessivo per questo caso d'uso specifico; Firewall Manager è più adatto per gestire policy di sicurezza centralizzate su più account e risorse. Archiviare gli indirizzi IP in DynamoDB e utilizzare una funzione Lambda per l'autorizzazione introdurrebbe complessità e latenza non necessarie, oltre a essere meno efficiente di WAF per il filtraggio IP. Configurare una Network ACL sulla sottorete dell'ALB non è pratico per 20.000 indirizzi IP, poiché le Network ACL hanno un limite di regole (tipicamente 20 per direzione) e sono stateless, rendendo la gestione estremamente difficile.