Een bedrijf gebruikt CloudFront met een Application Load Balancer (ALB) origin. De netwerkingenieur moet ervoor zorgen dat al het inkomende verkeer naar de ALB afkomstig is van CloudFront, en de handhaving moet op de netwerklaag gebeuren in plaats van in de applicatie. Welke oplossing is de MEEST operationeel efficiënte manier om aan deze vereiste te voldoen?

De meest operationeel efficiënte methode is het toevoegen van een inkomende regel aan de security group van de ALB die de AWS managed prefix list voor CloudFront toestaat. Security groups zijn stateful en werken op instanceniveau, wat ideaal is voor het filteren van verkeer naar de ALB. De AWS managed prefix list wordt automatisch door AWS bijgewerkt, waardoor handmatig beheer van IP-adressen overbodig is en de operationele overhead minimaal is. Het gebruik van netwerk-ACL's is minder efficiënt omdat deze stateless zijn en zowel inkomende als uitgaande regels vereisen, wat complexer is. Het configureren van een custom HTTP-header is een applicatielaagoplossing, niet op de netwerklaag zoals gevraagd. AWS WAF met een Lambda-functie voor IP-updates is complexer en vereist meer beheer dan het simpelweg gebruiken van de managed prefix list.