Un'azienda ha migrato un'applicazione web su AWS. L'architettura utilizza una distribuzione Amazon CloudFront che inoltra le richieste a un Application Load Balancer (ALB), e Amazon ECS gestisce l'elaborazione dell'applicazione. Un audit di sicurezza ha rilevato che l'applicazione è raggiungibile direttamente sia tramite il dominio CloudFront che tramite l'endpoint ALB. L'azienda richiede che l'applicazione sia accessibile solo tramite CloudFront. Quale soluzione raggiunge questo obiettivo con il MINOR sforzo?

La soluzione più semplice e con il minor sforzo è aggiornare il gruppo di sicurezza dell'ALB per consentire l'accesso solo dalla managed prefix list di CloudFront com.amazonaws.global.cloudfront.origin-facing. Questa prefix list è gestita da AWS e contiene gli intervalli IP di CloudFront, garantendo che solo le richieste provenienti da CloudFront possano raggiungere l'ALB. Le altre opzioni sono meno efficienti o non risolvono completamente il problema: Creare un nuovo gruppo di sicurezza per CloudFront e aggiornare l'ALB non è fattibile, poiché CloudFront non opera all'interno di un VPC e non può essere associato a un gruppo di sicurezza in questo modo. Creare un endpoint di interfaccia VPC e cambiare lo schema dell'ALB a "internal" renderebbe l'ALB inaccessibile da CloudFront, che è un servizio pubblico. Estrarre manualmente gli indirizzi IP di CloudFront dal documento ip-ranges.json è un approccio ad alta manutenzione, poiché questi intervalli IP cambiano frequentemente e richiederebbero aggiornamenti costanti del gruppo di sicurezza.