Un'azienda utilizza CloudFront con un'origine Application Load Balancer (ALB). L'ingegnere di rete deve garantire che tutto il traffico in entrata verso l'ALB provenga da CloudFront e che l'applicazione di questa regola avvenga a livello di rete anziché nell'applicazione. Qual è la soluzione più efficiente dal punto di vista operativo per soddisfare questo requisito?

La soluzione più efficiente dal punto di vista operativo è aggiungere una regola in entrata al security group dell'ALB per consentire la AWS managed prefix list per CloudFront. Questo garantisce che solo il traffico proveniente dagli indirizzi IP di CloudFront possa raggiungere l'ALB, applicando la restrizione a livello di rete. La AWS managed prefix list viene automaticamente aggiornata da AWS, riducendo l'onere operativo. Le ACL di rete (Network ACLs) sono stateless e richiederebbero regole sia in entrata che in uscita, rendendole meno granulari e più complesse da gestire rispetto ai security group. L'aggiunta di un'intestazione HTTP personalizzata è una soluzione a livello applicativo, non a livello di rete, e l'applicazione potrebbe comunque essere raggiunta direttamente. L'utilizzo di AWS WAF con una funzione Lambda per mantenere aggiornati gli IP di CloudFront è una soluzione più complessa e costosa rispetto all'uso della prefix list gestita da AWS.