アプリケーションには、CloudFrontディストリビューション経由と、インターネットに接続されたApplication Load Balancer (ALB) 経由の両方でアクセスできます。管理者は、アプリケーションコードを変更せずに、CloudFront経由でのみアプリにアクセスでき、ALB経由では直接アクセスできないようにする必要があります。この構成を実現するには、どの設定を行いますか？

この設定は、CloudFront経由のアクセスのみを許可し、ALBへの直接アクセスをブロックする最も効果的な方法です。CloudFrontのオリジン設定でカスタムヘッダーを追加することで、CloudFrontがALBにリクエストを転送する際にそのヘッダーを含めるようになります。ALBのリスナールールで、この特定のヘッダーを持つリクエストのみを許可し、それ以外の直接アクセスリクエストには403エラーを返すように設定することで、目的のセキュリティ要件を満たせます。 他の選択肢は不適切です。ALBを内部タイプに変換すると、CloudFrontからアクセスできなくなります。Lambda@Edgeは複雑で、カスタムヘッダーとALBルールで十分です。パブリックALBを内部ALBに置き換えるのは不要であり、CloudFrontのオリジン設定にカスタムヘッダーを追加するだけでは、ALBへの直接アクセスをブロックできません。