애플리케이션은 CloudFront 배포를 통해서도, 인터넷 연결 Application Load Balancer(ALB)를 통해서도 접근할 수 있습니다. 관리자는 애플리케이션 코드를 수정하지 않고, 앱이 ALB를 통해 직접 접근하는 것이 아니라 CloudFront를 통해서만 접근할 수 있도록 해야 합니다. 어떤 구성이 이를 달성할까요?

이 접근 방식은 CloudFront를 통해서만 ALB에 접근하도록 강제합니다. CloudFront 오리진 설정에 고유한 사용자 지정 HTTP 헤더를 추가하면, CloudFront가 ALB로 요청을 전달할 때 이 헤더를 포함하게 됩니다. ALB 리스너 규칙을 구성하여 이 특정 헤더와 값이 있는 요청만 허용하고, 다른 모든 요청(즉, CloudFront를 거치지 않고 직접 ALB로 들어오는 요청)에 대해서는 403 Forbidden 응답을 반환하도록 설정합니다. 다른 옵션들은 다음과 같은 이유로 적절하지 않습니다. ALB를 내부 유형으로 변환하는 것은 인터넷에서 직접 접근할 수 없게 만들지만, CloudFront는 퍼블릭 오리진에 연결해야 합니다. Lambda@Edge는 가능하지만, 사용자 지정 헤더와 ALB 규칙을 사용하는 것보다 복잡하고 추가적인 비용이 발생할 수 있습니다. 퍼블릭 ALB를 내부 ALB로 교체하는 것은 CloudFront가 퍼블릭 오리진에 연결해야 하는 요구사항과 충돌합니다.