ある会社が、us-east-1 の S3 バケットから公開ウェブサイトをホストし、Amazon CloudFront ディストリビューションを介して提供しています。同社は DDoS からの保護を望んでおり、緩和をトリガーするレートしきい値をきめ細かく制御する必要があります。このニーズを満たすデプロイはどれですか？

DDoS保護ときめ細かなレート制御には、CloudFrontディストリビューションに関連付けられたグローバルスコープのAWS WAF Web ACLが最適です。CloudFrontはエッジロケーションでトラフィックをフィルタリングし、オリジン（S3バケット）への不要なリクエストを削減します。レートベースルールは、指定されたしきい値を超えるリクエストレートを自動的にブロックし、DDoS攻撃を緩和します。デフォルトアクションを「許可」に設定し、レートベースルールで「ブロック」することで、正当なトラフィックは通過させつつ、攻撃トラフィックのみをブロックできます。S3バケットに直接WAFを関連付けることはできません。また、デフォルトアクションを「ブロック」に設定すると、正当なリクエストもブロックされるリスクがあります。