Een applicatie draait op EC2-instances in private subnets achter een internetgerichte Application Load Balancer (ALB). De ALB is de origin voor een CloudFront-distributie. Een WAF web ACL (met AWS managed rules) is gekoppeld aan de CloudFront-distributie. Het bedrijf wil voorkomen dat internetverkeer de ALB rechtstreeks bereikt. Welke optie bereikt dit met de minste operationele overhead?

De correcte optie is om een security group-regel toe te voegen aan de ALB die inkomend verkeer alleen toestaat vanaf de door AWS beheerde CloudFront prefix list. Dit is de meest efficiënte methode omdat de prefix list dynamisch wordt bijgewerkt door AWS, waardoor handmatige aanpassingen overbodig zijn wanneer de IP-adressen van CloudFront veranderen. Hierdoor wordt operationele overhead geminimaliseerd. Het koppelen van een WAF web ACL aan de ALB is niet ideaal omdat WAF-regels niet voorkomen dat verkeer de ALB bereikt; ze filteren het verkeer pas nadat het de ALB heeft bereikt. Bovendien zou het koppelen van een nieuwe of bestaande WAF web ACL aan de ALB extra kosten en configuratie met zich meebrengen. Het toestaan van verkeer vanaf de huidige CloudFront IP-adresbereiken is minder optimaal, omdat deze IP-adressen regelmatig kunnen veranderen, wat handmatig onderhoud vereist en tot onderbrekingen kan leiden.