Uno sviluppatore espone un'API web tramite un Application Load Balancer (ALB) rivolto verso Internet utilizzando un listener HTTPS e ha configurato un pool di utenti Amazon Cognito. Lo sviluppatore vuole assicurarsi che ogni richiesta all'API sia autenticata tramite Cognito. Cosa dovrebbe essere fatto?

L'opzione corretta è aggiungere un'azione authenticate-cognito alle regole del listener dell'ALB e impostare OnUnauthenticatedRequest su "deny". Questa è la soluzione nativa e più efficiente offerta da AWS per integrare l'autenticazione Amazon Cognito direttamente con un Application Load Balancer. L'ALB gestirà l'intero flusso di autenticazione, reindirizzando gli utenti non autenticati alla pagina di login di Cognito e inoltrando le richieste autenticate al target group. Impostare OnUnauthenticatedRequest su "deny" assicura che le richieste non autenticate vengano bloccate. Le altre opzioni sono meno ideali: Aggiungere una regola del listener per una risposta 401 è insufficiente, in quanto non gestisce il processo di autenticazione con Cognito. Mettere API Gateway davanti all'ALB è una soluzione valida ma aggiunge complessità e costi inutili, dato che l'ALB può gestire l'autenticazione direttamente. Aggiungere un target group con una Lambda per la convalida è un approccio manuale e più complesso, che richiede la gestione della logica di autenticazione e del reindirizzamento, mentre l'azione authenticate-cognito dell'ALB lo fa automaticamente.