Aplikacja internetowa działa na instancjach EC2 w grupie Auto Scaling za publicznym Application Load Balancer (ALB). Tylko użytkownicy z określonego kraju powinni mieć dostęp do aplikacji. Firma musi również rejestrować zablokowane żądania dostępu. Rozwiązanie powinno wymagać minimalnej konserwacji. Które podejście spełnia te wymagania?

Poprawna odpowiedź to utworzenie listy kontroli dostępu do sieci AWS WAF (web ACL) z regułą, która blokuje żądania spoza określonego kraju, i powiązanie jej z ALB. AWS WAF oferuje zarządzane reguły geograficzne, które automatycznie identyfikują kraj pochodzenia żądania i pozwalają na blokowanie lub zezwalanie na ruch na podstawie tej informacji. To rozwiązanie jest łatwe w utrzymaniu i umożliwia logowanie zablokowanych żądań. Opcja z IPSet jest mniej optymalna, ponieważ wymaga ręcznego utrzymywania i aktualizowania zakresów adresów IP dla danego kraju, co jest czasochłonne i podatne na błędy. AWS Shield jest usługą ochrony przed atakami DDoS i nie służy do filtrowania ruchu na podstawie kraju pochodzenia. Grupy zabezpieczeń działają na poziomie instancji lub interfejsów sieciowych i nie mają wbudowanej funkcji filtrowania geograficznego, a ich zastosowanie bezpośrednio z ALB jest nieprawidłowe.