ある企業は、Amazon EC2 上の動的アプリケーションと静的コンテンツ用の Amazon S3 バケットという 2 つのオリジンで Amazon CloudFront を使用しています。セキュリティレビューの結果、アプリケーションからの HTTPS レスポンスに、クリックジャッキングを軽減するために必要な X-Frame-Options HTTP ヘッダーがないことが判明しました。セキュリティエンジニアは、レスポンスにヘッダーを追加して、スタック全体が準拠していることを確認する必要があります。この要件を満たすアプローチはどれですか？

このアプローチは、CloudFront のオリジンレスポンスイベントでLambda@Edge関数をトリガーすることで、EC2アプリケーションからのレスポンスにX-Frame-Optionsヘッダーを動的に追加します。これにより、アプリケーションコードを変更することなく、クリックジャッキング対策を実装できます。 Lambda@Edge関数をビューワーリクエストイベントでトリガーしても、オリジンからのレスポンスにはヘッダーが追加されません。CloudFrontディストリビューションのオリジン設定でカスタムヘッダーを追加しても、それはオリジンへのリクエストに適用されるものであり、オリジンからのレスポンスには適用されません。EC2アプリケーション自体を変更することは可能ですが、CloudFrontレイヤーでこのセキュリティ対策を一元的に管理する方が、運用上のオーバーヘッドが少なく、より迅速にデプロイできます。