Firma e-commerce projektuje nową architekturę aplikacji na potrzeby nadchodzącej wersji. Cały ruch klientów pochodzi z internetu. TLS musi być zakończony dla żądań przychodzących, ale kompleksowy TLS do aplikacji nie jest wymagany ze względu na obawy dotyczące wydajności. Aplikacja odbiera ruch HTTP i HTTPS na portach 80 i 443. Co powinien wdrożyć inżynier bezpieczeństwa, aby spełnić te wymagania?

Prawidłowa odpowiedź spełnia wszystkie wymagania. Application Load Balancer (ALB) jest odpowiedni do zakończenia TLS i obsługi ruchu HTTP/HTTPS. Utworzenie dwóch listenerów (HTTP na porcie 80 i HTTPS na porcie 443) oraz reguły przekierowania HTTP na HTTPS zapewnia, że cały ruch jest szyfrowany. Dołączenie certyfikatu z AWS Certificate Manager (ACM) do listenera HTTPS umożliwia zakończenie TLS. Brak wymogu kompleksowego TLS oznacza, że ruch do aplikacji może być nieszyfrowany, co ALB obsługuje. Pozostałe opcje są nieprawidłowe: Druga opcja jest błędna, ponieważ certyfikat TLS musi być dołączony do listenera HTTPS (443), a nie HTTP (80). Opcje z Network Load Balancer (NLB) są nieodpowiednie, ponieważ NLB działa na warstwie 4 i nie obsługuje przekierowań HTTP na HTTPS ani zaawansowanego zakończenia TLS na poziomie aplikacji, co jest wymagane w tym scenariuszu. NLB jest przeznaczony do bardzo wysokiej wydajności i statycznego adresu IP, ale brakuje mu funkcji warstwy 7 ALB.