ある企業が、オリジンとしてApplication Load Balancer (ALB) を使用してCloudFrontを利用しています。ネットワークエンジニアは、ALBへのすべてのインバウンドトラフィックがCloudFrontから発信されていることを確認する必要があり、その強制はアプリケーションではなくネットワーク層で行う必要があります。この要件を満たすための最も運用効率の高いソリューションはどれですか？

ALBのセキュリティグループにCloudFrontのAWSマネージドプレフィックスリストを許可するインバウンドルールを追加することで、ALBへのトラフィックをCloudFrontからのもののみに制限できます。これはネットワーク層での強制であり、運用効率も高いです。 ネットワークACLはステートレスであり、ALBのセキュリティグループよりも管理が複雑になるため、この要件には不向きです。カスタムHTTPヘッダーはアプリケーション層での強制であり、ネットワーク層での要件を満たしません。AWS WAFとLambda関数を使用する方法は、CloudFrontのIPアドレスの変更に追従するための追加の運用オーバーヘッドが発生し、マネージドプレフィックスリストを使用するよりも複雑です。