Aplikacja działa na instancjach EC2 w prywatnych podsieciach za Application Load Balancerem (ALB) skierowanym do internetu. ALB jest źródłem dla dystrybucji CloudFront. Do dystrybucji CloudFront dołączona jest lista kontroli dostępu WAF (web ACL) (z zarządzanymi regułami AWS). Firma chce uniemożliwić bezpośrednie dotarcie jakiegokolwiek ruchu internetowego do ALB. Która opcja osiągnie to z najmniejszym narzutem operacyjnym?

Prawidłowa odpowiedź to dodanie reguły grupy bezpieczeństwa do ALB, która zezwala na ruch przychodzący tylko z zarządzanej przez AWS listy prefiksów CloudFront. Jest to najbardziej efektywne operacyjnie rozwiązanie, ponieważ lista prefiksów AWS dla CloudFront jest automatycznie aktualizowana przez AWS, co eliminuje potrzebę ręcznego zarządzania zmianami adresów IP CloudFront. Zapewnia to, że tylko ruch pochodzący z CloudFront może dotrzeć do ALB, blokując bezpośredni dostęp internetowy. Pozostałe opcje są mniej optymalne: Utworzenie nowej listy kontroli dostępu WAF i powiązanie jej z ALB zwiększa narzut operacyjny, ponieważ wymaga duplikowania i zarządzania dwoma niezależnymi zestawami reguł WAF. Powiązanie istniejącej listy kontroli dostępu CloudFront z ALB nie jest możliwe, ponieważ WAF Web ACL utworzone dla CloudFront nie mogą być bezpośrednio powiązane z Application Load Balancerem. Dodanie reguły grupy bezpieczeństwa zezwalającej na ruch tylko z bieżących zakresów adresów IP CloudFront wymagałoby ręcznego, ciągłego aktualizowania tych zakresów, co jest nieefektywne i podatne na błędy, ponieważ adresy IP CloudFront często się zmieniają.