Un'applicazione viene eseguita su istanze EC2 in sottoreti private dietro un Application Load Balancer (ALB) rivolto verso Internet. L'ALB è l'origine per una distribuzione CloudFront. Una web ACL WAF (con regole gestite da AWS) è associata alla distribuzione CloudFront. L'azienda desidera impedire che qualsiasi traffico Internet raggiunga direttamente l'ALB. Quale opzione realizza questo obiettivo con il minor overhead operativo?

La risposta corretta è aggiungere una regola al gruppo di sicurezza sull'ALB che consenta il traffico in entrata solo dall'elenco di prefissi CloudFront gestito da AWS. Questo è il metodo più efficace e con il minor overhead operativo per garantire che solo CloudFront possa raggiungere l'ALB. L'elenco di prefissi gestito da AWS ( com.amazonaws.global.cloudfront.origin-facing ) viene mantenuto aggiornato automaticamente da AWS, eliminando la necessità di gestire manualmente gli intervalli IP di CloudFront. Le altre opzioni sono meno ideali: Creare una nuova web ACL WAF e associarla all'ALB raddoppierebbe la gestione delle regole WAF, aumentando l'overhead operativo. Associare la web ACL CloudFront esistente all'ALB non è possibile, poiché le web ACL di CloudFront e quelle regionali (per ALB) sono entità separate e non possono essere scambiate o riutilizzate direttamente in questo modo. Consentire il traffico solo dagli attuali intervalli IP di CloudFront richiederebbe un monitoraggio e un aggiornamento manuale costante di questi intervalli, che cambiano frequentemente, introducendo un significativo overhead operativo e il rischio di interruzioni del servizio.