한 회사에서 6개의 미국 기반 파트너가 매일 한 번씩 API를 호출하여 판매 수치를 제출하는 데 사용해야 하는 리전별 API(API Gateway 리전 엔드포인트)를 게시합니다. 배포 후, API는 전 세계 500개의 다른 IP 주소에서 초당 1,000개의 요청을 수신하고 있으며, 이는 봇넷으로 추정됩니다. 회사는 비용을 낮게 유지하면서 API를 보호하고자 합니다. 다음 접근 방식 중 API를 가장 잘 보호하는 방법은 무엇입니까?

정답은 6개 파트너의 IP 주소만 허용하는 AWS WAF 웹 ACL을 생성하고 이를 API와 연결하는 것입니다. 또한 요청 할당량이 있는 사용량 계획을 생성하고 이를 API와 연결한 다음, API 키를 생성하여 사용량 계획에 할당해야 합니다. 이 방법은 알려진 파트너의 IP 주소만 허용하여 봇넷 공격을 효과적으로 차단하고, 사용량 계획과 API 키를 통해 파트너별 요청을 제어하여 비용을 효율적으로 관리할 수 있습니다. 오답 설명: CloudFront를 사용하는 옵션들은 불필요하게 복잡하며, 봇넷 공격을 막는 데 CloudFront의 캐싱 기능이 필요하지 않습니다. 또한, OAI(Origin Access Identity)는 S3 버킷에 대한 직접 접근을 제한하는 데 사용되며 API Gateway에는 적용되지 않습니다. API 키를 사용자 지정 헤더에 추가하는 옵션은 보안상 좋지 않으며, CloudFront가 아닌 API Gateway 자체에서 API 키를 요구하는 것이 더 적절합니다. 6개 파트너의 IP 주소만 허용하는 AWS WAF 웹 ACL을 생성하고 리소스 정책을 적용하는 옵션은 봇넷 공격을 막을 수 있지만, 사용량 계획과 API 키를 통한 요청 제어 및 비용 관리가 부족합니다.