Aplikacja internetowa używa Amazon CloudFront z dwoma niestandardowymi źródłami (origins): jedno źródło przekazuje ruch do Amazon API Gateway HTTP API (które używa autoryzatora JWT), a drugie źródło przekazuje ruch do Application Load Balancer (ALB). Aplikacja używa dostawcy tożsamości (IdP) OpenID Connect (OIDC). Audyt bezpieczeństwa wykazał, że API jest chronione przez autoryzator JWT, ale ALB akceptuje nieuwierzytelnione żądania. W jaki sposób architekt rozwiązań może zapewnić, że oba źródła backendu akceptują żądania tylko od uwierzytelnionych użytkowników?

Poprawna odpowiedź to skonfigurowanie ALB do wykonywania uwierzytelniania i autoryzacji poprzez integrację z OIDC IdP. ALB natywnie obsługuje uwierzytelnianie użytkowników za pomocą dostawców tożsamości zgodnych z OIDC, takich jak Amazon Cognito, lub innych IdP. Umożliwia to ALB weryfikację tokenów OIDC i przepuszczanie tylko uwierzytelnionych żądań do usług backendu, zapewniając spójne bezpieczeństwo dla obu źródeł. Niepoprawne opcje: Zmiana konfiguracji CloudFront na używanie signed URLs jest nieodpowiednia, ponieważ signed URLs kontrolują dostęp do zasobów na podstawie uprawnień, a nie uwierzytelniania użytkowników przez OIDC. Tworzenie web ACL AWS WAF do filtrowania nieuwierzytelnionych żądań jest niewystarczające, ponieważ WAF koncentruje się na ochronie przed typowymi atakami internetowymi, a nie na uwierzytelnianiu użytkowników. Włączenie logowania AWS CloudTrail i użycie funkcji Lambda do analizy logów i blokowania żądań jest reaktywnym podejściem, które nie zapobiega nieautoryzowanemu dostępowi w czasie rzeczywistym i jest złożone w implementacji.