インターネットに面したApplication Load Balancer (ALB) の背後にあるプライベートサブネット内のEC2インスタンスでアプリケーションが実行されています。ALBはCloudFrontディストリビューションのオリジンです。WAFウェブACL（AWSマネージドルールを含む）がCloudFrontディストリビューションにアタッチされています。会社は、インターネットトラフィックがALBに直接到達するのを防ぎたいと考えています。運用上のオーバーヘッドが最も少ないのは、次のうちどのオプションですか？

この構成では、ALBへの直接アクセスを防ぎ、CloudFront経由のトラフィックのみを許可する必要があります。ALBのセキュリティグループに、AWSマネージドのCloudFrontプレフィックスリストからのインバウンドトラフィックのみを許可するルールを追加することで、これを実現できます。このプレフィックスリストはCloudFrontのIPアドレス範囲を自動的に更新するため、運用上のオーバーヘッドが最も少なくなります。 既存のCloudFrontウェブACLをALBにアタッチしても、ALBへの直接アクセスは防げません。新しいWAFウェブACLを作成してALBにアタッチするのは可能ですが、CloudFrontのWAFとALBのWAFを別々に管理することになり、運用オーバーヘッドが増加します。現在のCloudFront IPアドレス範囲からのインバウンドトラフィックのみを許可するセキュリティグループルールを追加する方法は、IPアドレスが変更された場合に手動で更新する必要があり、運用オーバーヘッドが高くなります。