Un'azienda esegue un'applicazione in us-east-1 dietro un ALB che riceve richieste HTTPS da distributori automatici in tutto il mondo. L'azienda prevede di utilizzare AWS Global Accelerator e di programmare gli IP statici dell'acceleratore nei distributori automatici in modo che l'applicazione sia raggiungibile solo tramite l'acceleratore, non direttamente tramite l'URL dell'ALB rivolto a Internet. Quale configurazione imporrà l'accesso solo tramite l'acceleratore?

La risposta corretta garantisce che l'ALB non sia direttamente accessibile da Internet, ma solo tramite Global Accelerator. Posizionare l'ALB in sottoreti private e non aggiungere route all'internet gateway impedisce l'accesso diretto all'ALB. Global Accelerator, tuttavia, può raggiungere un ALB privato tramite un internet gateway (che deve essere presente nel VPC) anche senza route specifiche nelle tabelle di routing delle sottoreti dell'ALB. Il gruppo di sicurezza dell'ALB deve consentire il traffico in entrata da Internet sulla porta del listener, poiché Global Accelerator inoltra il traffico con l'IP sorgente originale del client. Le opzioni errate non raggiungono questo obiettivo. Se l'ALB è in sottoreti pubbliche o se le sottoreti private hanno route verso l'internet gateway, l'ALB sarebbe direttamente accessibile. Limitare il gruppo di sicurezza agli IP di Global Accelerator non funziona, poiché Global Accelerator mantiene l'IP sorgente del client.