Aplikacja internetowa działa na instancjach EC2 za Application Load Balancer (ALB), a ALB jest źródłem dla dystrybucji CloudFront. Firma używa niestandardowego systemu uwierzytelniania, który wydaje token uwierzytelnionym klientom. Aplikacja musi zapewnić, że żądania GET/POST pochodzą tylko od uwierzytelnionych klientów. Zaprojektuj NAJBARDZIEJ efektywne operacyjnie rozwiązanie, które pozwoli aplikacji internetowej identyfikować autoryzowanych klientów.

Najbardziej efektywnym operacyjnie rozwiązaniem jest użycie funkcji Lambda@Edge. Działa ona bliżej użytkownika (na krawędzi sieci CloudFront), co minimalizuje opóźnienia i zmniejsza obciążenie ALB oraz instancji EC2. Lambda@Edge może przechwycić żądanie, zweryfikować token uwierzytelniający i dodać niestandardowy nagłówek, zanim żądanie dotrze do ALB i aplikacji. To centralizuje logikę uwierzytelniania i odciąża aplikację. Pozostałe opcje są mniej efektywne: Sprawdzanie tokenu przez ALB za pomocą funkcji Lambda (pierwsza opcja) wprowadza dodatkowe opóźnienie, ponieważ żądanie musi najpierw dotrzeć do regionu AWS, a nie jest przetwarzane na krawędzi. AWS WAF (druga opcja) jest przeznaczony głównie do filtrowania ruchu na podstawie predefiniowanych reguł bezpieczeństwa, a nie do złożonej logiki uwierzytelniania opartej na niestandardowych tokenach. WAF nie jest idealnym narzędziem do modyfikacji nagłówków w oparciu o dynamiczną logikę uwierzytelniania. Wdrażanie instancji EC2 z narzędziem innej firmy (czwarta opcja) jest złożone, kosztowne w utrzymaniu i skalowaniu, a także wprowadza pojedynczy punkt awarii oraz dodatkowe opóźnienia.