Медицинская компания запускает REST API на инстансах EC2 в группе Auto Scaling за Application Load Balancer (ALB). ALB находится в трех публичных подсетях, а инстансы EC2 — в трех приватных подсетях. Дистрибутив CloudFront использует ALB в качестве источника. Что должен порекомендовать архитектор решений для усиления безопасности источника (защиты ALB от прямого доступа) для запросов, поступающих из CloudFront?

Правильный ответ предусматривает использование пользовательского заголовка CloudFront для аутентификации запросов к ALB. CloudFront добавляет секретную строку из Secrets Manager в качестве HTTP-заголовка, а WAF Web ACL, связанный с ALB, проверяет этот заголовок. Это гарантирует, что только запросы, прошедшие через CloudFront, достигнут ALB, предотвращая прямой доступ. Остальные варианты не подходят: Использование IP-адресов CloudFront для WAF (вариант 2) не является надежным, так как эти диапазоны могут меняться, и их сложно поддерживать в актуальном состоянии. Перемещение ALB в приватные подсети не решает проблему прямого доступа, так как ALB должен быть доступен из интернета для CloudFront. Использование Parameter Store (вариант 3) менее безопасно, чем Secrets Manager, для хранения секретов, а проверка заголовка на стороне ALB или бэкенда увеличивает сложность и нагрузку, вместо использования WAF. AWS Shield Advanced (вариант 4) предназначен для защиты от DDoS-атак, а не для контроля доступа к источнику с помощью политик безопасности на основе IP-адресов.