Een applicatie bedient klanten in meer dan 20.000 winkels wereldwijd. Backend-webservices draaien op Amazon EC2 achter een Application Load Balancer (ALB) en worden via HTTPS op poort 443 beschikbaar gesteld. Winkellocaties communiceren via het openbare internet en registreren hun toegewezen ISP IP-adres. Het beveiligingsteam wil de toegang beperken tot alleen de geregistreerde IP-adressen. Wat moet een solutions architect doen?

De juiste oplossing is het koppelen van een AWS WAF web ACL aan de ALB en het gebruik van IP-regelsets. AWS WAF is ontworpen voor het filteren van webverkeer op basis van IP-adressen, HTTP-headers, HTTP-body en URI-strings, en integreert direct met een ALB. Het bijwerken van de IP-adressen in de regelset is een efficiënte manier om toegang te beheren voor een groot en dynamisch aantal winkellocaties. AWS Firewall Manager is een service voor centraal beheer van firewallregels over meerdere accounts en applicaties, maar is overkill voor het beheren van IP-restricties op één ALB. Een Lambda-autorisatiefunctie op de ALB is technisch mogelijk, maar voegt onnodige complexiteit en latency toe voor een taak die WAF direct kan afhandelen. Het configureren van de netwerk-ACL op het subnet van de ALB is onpraktisch en inefficiënt voor 20.000+ IP-adressen, omdat netwerk-ACL's een beperkt aantal regels hebben en moeilijk te beheren zijn op zo'n schaal.