Een medisch bedrijf draait een REST API op EC2-instances in een Auto Scaling-groep achter een Application Load Balancer (ALB). De ALB bevindt zich in drie publieke subnets en de EC2-instances bevinden zich in drie private subnets. Een CloudFront-distributie gebruikt de ALB als origin. Wat moet een solutions architect aanbevelen om de origin-beveiliging (het beschermen van de ALB tegen directe toegang) te versterken voor verzoeken die van CloudFront komen?

De correcte optie versterkt de origin-beveiliging door een gedeeld geheim te gebruiken tussen CloudFront en de ALB. CloudFront voegt een aangepaste header toe met een geheime string die is opgeslagen in Secrets Manager (en automatisch roteert). Een AWS WAF web ACL op de ALB controleert op deze header en blokkeert verzoeken zonder de verwachte waarde, waardoor directe toegang tot de ALB wordt voorkomen. De optie met IP-adresbereiken van CloudFront is minder veilig omdat deze IP-adressen kunnen veranderen en door anderen kunnen worden gebruikt. Het verplaatsen van de ALB naar private subnets is niet mogelijk, aangezien een ALB in publieke subnets moet staan om internetverkeer te ontvangen. De optie met Parameter Store is minder veilig dan Secrets Manager vanwege minder robuuste rotatiemogelijkheden. AWS Shield Advanced is een DDoS-beschermingsdienst en biedt geen fijne controle over origin-toegang op basis van aangepaste headers.