Globalna witryna informacyjna używa CloudFront z niestandardową domeną service.example.com i źródłem ALB pod adresem service-alb.example.com. Instancje backendowe EC2 Windows znajdują się w grupie Auto Scaling za ALB. Polityka bezpieczeństwa wymaga szyfrowania w transporcie dla całej ścieżki od użytkowników do backendu. Jaka kombinacja zmian jest wymagana, aby spełnić tę politykę? (Wybierz trzy.)

Aby zapewnić szyfrowanie od użytkownika do backendu, należy wykonać trzy kluczowe kroki. Po pierwsze, CloudFront musi używać certyfikatu SSL/TLS dla domeny service.example.com i przekierowywać ruch HTTP na HTTPS. Najlepszym sposobem jest utworzenie certyfikatu w AWS Certificate Manager (ACM) i skonfigurowanie go w CloudFront. Po drugie, ALB musi obsługiwać ruch HTTPS. Należy utworzyć certyfikat dla service-alb.example.com w ACM, dodać słuchacza HTTPS do ALB, który używa tego certyfikatu, i skonfigurować CloudFront, aby łączył się z ALB wyłącznie przez HTTPS. Usunięcie słuchacza HTTP z ALB dodatkowo wymusza szyfrowanie. Po trzecie, instancje EC2 muszą również obsługiwać HTTPS. Wymaga to zainstalowania certyfikatu (np. od zewnętrznego dostawcy) na instancjach EC2 i skonfigurowania grupy docelowej ALB do sprawdzania kondycji i przekazywania ruchu do instancji przez HTTPS. Opcje niepoprawne: Użycie certyfikatu z podpisem własnym dla service.example.com w CloudFront jest niewskazane, ponieważ przeglądarki użytkowników nie ufają takim certyfikatom, co prowadziłoby do błędów bezpieczeństwa. Utworzenie certyfikatu z dowolną nazwą domeny w ACM dla instancji EC2 nie jest odpowiednie, ponieważ certyfikat musi pasować do nazwy hosta, do której odwołuje się ALB (lub bezpośrednio użytkownik, jeśli nie ma ALB).