Компания перенесла веб-приложение в AWS. Архитектура использует дистрибутив Amazon CloudFront, который перенаправляет запросы на Application Load Balancer (ALB), а Amazon ECS обрабатывает приложение. Аудит безопасности показал, что приложение доступно напрямую как через домен CloudFront, так и через конечную точку ALB. Компания требует, чтобы приложение было доступно только через CloudFront. Какое решение позволит добиться этого с НАИМЕНЬШИМИ усилиями?

Правильный ответ — обновить входящие правила группы безопасности ALB, чтобы разрешить доступ только из управляемого префиксного списка CloudFront com.amazonaws.global.cloudfront.origin-facing. Этот префиксный список содержит актуальные IP-адреса, используемые CloudFront для доступа к источникам, что позволяет легко ограничить доступ к ALB только из CloudFront. Первый вариант неверен, потому что дистрибутив CloudFront не имеет группы безопасности, которую можно было бы прикрепить. CloudFront — это глобальный сервис, а не ресурс в VPC. Третий вариант неверен, так как конечная точка интерфейса VPC для Elastic Load Balancing не решает проблему прямого доступа к ALB. Изменение схемы ALB на internal сделает его недоступным из интернета, включая CloudFront, что нарушит работу приложения. Четвертый вариант неверен, потому что IP-адреса CloudFront динамически меняются. Извлечение их из ip-ranges.json и ручное обновление правил группы безопасности потребует постоянного обслуживания и может привести к простоям, если IP-адреса изменятся. Управляемый префиксный список AWS автоматически обновляется.