Компания использует CloudFront с источником Application Load Balancer (ALB). Сетевой инженер должен убедиться, что весь входящий трафик к ALB исходит от CloudFront, и это ограничение должно быть реализовано на сетевом уровне, а не на уровне приложения. Какое решение является НАИБОЛЕЕ операционно эффективным способом выполнения этого требования?

Наиболее операционно эффективным решением является добавление входящего правила в группу безопасности ALB, разрешающего трафик только из управляемого AWS списка префиксов для CloudFront. Это гарантирует, что только трафик от CloudFront достигнет ALB на сетевом уровне, и не требует ручного обновления IP-адресов, поскольку список префиксов управляется AWS. Использование сетевых ACL менее гибко, так как они без сохранения состояния и применяются ко всем ресурсам в подсети. Настройка пользовательского HTTP-заголовка является решением на уровне приложения, а не на сетевом уровне. Использование AWS WAF с функцией Lambda для поддержания IP-адресов CloudFront требует дополнительных операционных усилий по управлению Lambda и актуализации списка IP-адресов, что менее эффективно, чем использование управляемого списка префиксов AWS.