Aplikacja obsługuje klientów w ponad 20 000 punktów sprzedaży detalicznej na całym świecie. Usługi backendowe działają na Amazon EC2 za Application Load Balancer (ALB) i są dostępne przez HTTPS na porcie 443. Punkty sprzedaży detalicznej komunikują się przez publiczny internet i rejestrują przypisany im adres IP dostawcy usług internetowych. Zespół bezpieczeństwa chce ograniczyć dostęp tylko do zarejestrowanych adresów IP. Co powinien zrobić architekt rozwiązań?

Prawidłowa odpowiedź to skojarzenie AWS WAF Web ACL z ALB i użycie zestawów reguł IP. AWS WAF (Web Application Firewall) działa na poziomie warstwy 7 (aplikacji) i jest idealny do filtrowania ruchu HTTP/HTTPS na podstawie adresów IP, co pozwala na dynamiczne zarządzanie listą dozwolonych adresów. Można łatwo aktualizować zestawy reguł IP, aby uwzględnić nowe lub zmienione adresy. Pozostałe opcje są mniej odpowiednie: AWS Firewall Manager jest narzędziem do centralnego zarządzania zaporami sieciowymi w wielu kontach i zasobach, ale nie jest podstawowym mechanizmem do filtrowania ruchu dla pojedynczego ALB w tym scenariuszu. Użycie funkcji AWS Lambda do autoryzacji na ALB jest możliwe, ale znacznie bardziej złożone i kosztowne niż proste filtrowanie IP za pomocą WAF. Konfiguracja Network ACL (NACL) na poziomie podsieci jest zbyt niska (warstwa 4) i nieefektywna dla tak dużej liczby dynamicznie zmieniających się adresów IP, ponieważ NACL są bezstanowe i wymagają oddzielnych reguł dla ruchu przychodzącego i wychodzącego, a także mają limit reguł.