애플리케이션은 인터넷 연결 Application Load Balancer(ALB) 뒤의 프라이빗 서브넷에 있는 EC2 인스턴스에서 실행됩니다. ALB는 CloudFront 배포의 오리진입니다. WAF 웹 ACL(AWS 관리형 규칙 포함)이 CloudFront 배포에 연결되어 있습니다. 회사는 인터넷 트래픽이 ALB에 직접 도달하는 것을 방지하고자 합니다. 운영 오버헤드가 가장 적은 방법으로 이를 달성하는 옵션은 무엇입니까?

정답은 ALB에 인바운드 트래픽을 AWS 관리형 CloudFront 접두사 목록에서만 허용하는 보안 그룹 규칙을 추가하는 것입니다. AWS 관리형 CloudFront 접두사 목록은 CloudFront 엣지 서버의 IP 주소를 동적으로 업데이트하여, ALB가 CloudFront에서 오는 트래픽만 수신하도록 효과적으로 제한합니다. 이는 운영 오버헤드가 가장 적은 방법입니다. 기존 CloudFront 웹 ACL을 ALB와 연결하는 것은 불가능합니다. WAF 웹 ACL은 CloudFront 또는 Application Load Balancer 중 하나에만 연결할 수 있으며, 두 서비스에 동시에 연결할 수 없습니다. 새 WAF 웹 ACL을 생성하고 ALB에 연결하는 것은 중복된 WAF 규칙을 관리해야 하므로 운영 오버헤드가 증가합니다. CloudFront IP 주소 범위를 수동으로 관리하는 것은 IP 주소 변경 시 수동 업데이트가 필요하여 운영 오버헤드가 높습니다.