Firma medyczna uruchamia interfejs API REST na instancjach EC2 w grupie Auto Scaling za Application Load Balancerem (ALB). ALB znajduje się w trzech publicznych podsieciach, a instancje EC2 w trzech prywatnych podsieciach. Dystrybucja CloudFront używa ALB jako źródła. Co powinien zalecić architekt rozwiązań, aby wzmocnić bezpieczeństwo źródła (chroniąc ALB przed bezpośrednim dostępem) dla żądań pochodzących z CloudFront?

Poprawna odpowiedź wykorzystuje niestandardowy nagłówek HTTP z tajnym kluczem, który CloudFront dodaje do żądań, a AWS WAF, powiązany z ALB, weryfikuje ten nagłówek. Dzięki temu tylko żądania pochodzące z CloudFront, zawierające prawidłowy klucz, są przepuszczane do ALB, skutecznie chroniąc go przed bezpośrednim dostępem. Rotacja klucza za pomocą AWS Secrets Manager i Lambda zwiększa bezpieczeństwo. Pozostałe opcje są mniej skuteczne lub błędne: Użycie dopasowania IP dla zakresów CloudFront jest problematyczne, ponieważ te zakresy są dynamiczne i mogą się zmieniać, co wymagałoby ciągłej aktualizacji reguł WAF. Przeniesienie ALB do prywatnych podsieci uniemożliwiłoby CloudFront dostęp do niego. Sprawdzanie nagłówka przez ALB lub backend jest możliwe, ale delegowanie tego zadania do AWS WAF jest bardziej efektywne i skalowalne, odciążając instancje EC2. AWS Shield Advanced chroni przed atakami DDoS, ale nie kontroluje dostępu na podstawie niestandardowych nagłówków ani nie zastępuje reguł bezpieczeństwa dla dostępu do źródła.