Na een DDoS-aanval op een openbare Application Load Balancer (ALB) heeft een bedrijf Amazon CloudFront vóór de ALB geplaatst. Sommige clients bereiken de ALB echter nog steeds rechtstreeks en de Amazon EC2-instances blijven dat verkeer bedienen. Welke combinatie van acties zorgt ervoor dat de EC2-instances alleen verzoeken ontvangen die via CloudFront komen? (Kies twee.)

Om ervoor te zorgen dat EC2-instances alleen verzoeken ontvangen die via CloudFront komen, moet CloudFront een unieke identificatie toevoegen aan de verzoeken die het doorstuurt. De optie "Configureer CloudFront om een aangepaste HTTP-header toe te voegen aan verzoeken die CloudFront naar de ALB stuurt" bereikt dit. Vervolgens moet de ALB worden geconfigureerd om alleen verzoeken met deze specifieke header te accepteren, wat wordt gedaan door de optie "Configureer de ALB om alleen verzoeken door te sturen die de aangepaste HTTP-header bevatten". Dit creëert een vertrouwensrelatie waarbij de ALB alleen verkeer accepteert dat aantoonbaar via CloudFront is gerouteerd, waardoor directe toegang tot de ALB wordt geblokkeerd. De optie over een cache key policy is irrelevant voor het beperken van directe toegang. Het gebruik van de X-Forwarded-For header is voor het doorgeven van client-IP-adressen, niet voor authenticatie van de bron. Het gebruik van hetzelfde X.509-certificaat is voor SSL/TLS-versleuteling en identiteitsverificatie, niet voor het afdwingen van verkeersroutering via CloudFront.