Firma przeprowadziła migrację aplikacji internetowej do AWS. Architektura wykorzystuje dystrybucję Amazon CloudFront, która przekazuje żądania do Application Load Balancer (ALB), a Amazon ECS obsługuje przetwarzanie aplikacji. Audyt bezpieczeństwa wykazał, że aplikacja jest dostępna bezpośrednio zarówno poprzez domenę CloudFront, jak i punkt końcowy ALB. Firma wymaga, aby aplikacja była dostępna tylko przez CloudFront. Które rozwiązanie osiągnie to przy NAJMNIEJSZYM wysiłku?

Poprawna odpowiedź to aktualizacja reguł grupy bezpieczeństwa ALB. Lista prefiksów zarządzanych przez CloudFront, com.amazonaws.global.cloudfront.origin-facing, zawiera aktualne adresy IP, z których CloudFront łączy się z serwerami pochodzenia. Użycie tej listy w regułach wejściowych grupy bezpieczeństwa ALB gwarantuje, że tylko ruch pochodzący z CloudFront dotrze do ALB, blokując bezpośredni dostęp do ALB przy minimalnym wysiłku i bez konieczności ręcznego zarządzania adresami IP. Pozostałe opcje są mniej optymalne: Tworzenie nowej grupy bezpieczeństwa dla CloudFront i zezwalanie na dostęp tylko z niej nie jest możliwe, ponieważ CloudFront nie jest zasobem, do którego można dołączyć grupę bezpieczeństwa w ten sposób. Użycie punktu końcowego interfejsu VPC i zmiana schematu ALB na internal wymagałoby złożonej konfiguracji sieciowej i nie rozwiązałoby problemu dostępu z internetu do CloudFront. Ręczne wyodrębnianie adresów IP CloudFront z ip-ranges.json jest niepraktyczne, ponieważ adresy te często się zmieniają, co wymagałoby ciągłej aktualizacji reguł grupy bezpieczeństwa.