Aplikacja jest dostępna zarówno poprzez dystrybucję CloudFront, jak i bezpośrednio przez Application Load Balancer (ALB) dostępny z internetu. Administrator musi zapewnić, że aplikacja jest dostępna tylko przez CloudFront, a nie bezpośrednio przez ALB, bez modyfikowania kodu aplikacji. Która konfiguracja to osiągnie?

Dodanie niestandardowego nagłówka HTTP w konfiguracji źródła CloudFront i skonfigurowanie reguły odbiornika ALB, aby akceptowała tylko żądania zawierające ten nagłówek i wartość, skutecznie blokuje bezpośredni dostęp do ALB. CloudFront automatycznie dołączy ten nagłówek do wszystkich żądań kierowanych do ALB, a ALB odrzuci (zwróci 403) wszelkie żądania, które nie zawierają tego nagłówka, czyli te pochodzące bezpośrednio od użytkowników, a nie przez CloudFront. Przekształcenie ALB na wewnętrzny (opcja 1) wymagałoby modyfikacji sieci i nie jest bezpośrednim rozwiązaniem problemu dostępu. Lambda@Edge (opcja 2) jest bardziej złożona i niepotrzebna, ponieważ natywne funkcje CloudFront i ALB mogą to osiągnąć. Zastąpienie publicznego ALB nowym wewnętrznym (opcja 3) jest zbyt inwazyjne i nie rozwiązuje problemu bez dodatkowej konfiguracji nagłówków.