퍼블릭 Application Load Balancer(ALB)에 대한 DDoS 이벤트 발생 후, 한 회사는 ALB 앞에 Amazon CloudFront를 배치했습니다. 그러나 일부 클라이언트는 여전히 ALB에 직접 도달하고, Amazon EC2 인스턴스는 해당 트래픽을 계속 처리합니다. EC2 인스턴스가 CloudFront를 통해 들어오는 요청만 수신하도록 보장하는 작업 조합은 무엇입니까? (두 가지 선택)

이 시나리오의 목표는 CloudFront를 통하지 않은 직접적인 ALB 접근을 차단하는 것입니다. 1. CloudFront가 ALB로 전송하는 요청에 사용자 지정 HTTP 헤더를 추가하도록 CloudFront를 구성합니다. CloudFront 배포 설정에서 사용자 지정 헤더를 구성하여 CloudFront가 원본(ALB)으로 요청을 전달할 때 특정 헤더(예: X-Origin-Verify: CloudFront)를 포함하도록 합니다. 2. 사용자 지정 HTTP 헤더가 포함된 요청만 전달하도록 ALB를 구성합니다. ALB 리스너 규칙을 사용하여 CloudFront가 추가한 사용자 지정 헤더가 포함된 요청만 EC2 인스턴스로 전달하도록 조건을 설정합니다. 이 헤더가 없는 요청은 차단하거나 다른 응답을 반환하도록 구성할 수 있습니다. 이렇게 하면 CloudFront를 통하지 않은 직접적인 ALB 접근은 EC2 인스턴스에 도달하지 못하게 됩니다. 다른 옵션들은 이 문제를 해결하는 데 직접적인 관련이 없습니다. X-Forwarded-For 헤더는 클라이언트 IP를 식별하는 데 사용되며, ACM 인증서는 TLS/SSL 암호화에 사용됩니다. 캐시 키 정책은 캐싱 동작을 제어하며, 사용자 지정 헤더를 허용하는 것만으로는 보안을 보장하지 않습니다.