После DDoS-атаки на публичный Application Load Balancer (ALB) компания разместила Amazon CloudFront перед ALB. Однако некоторые клиенты по-прежнему обращаются к ALB напрямую, и инстансы Amazon EC2 продолжают обслуживать этот трафик. Какая комбинация действий гарантирует, что инстансы EC2 будут получать запросы только через CloudFront? (Выберите два.)

Чтобы гарантировать, что запросы к инстансам EC2 поступают только через CloudFront, необходимо настроить CloudFront на добавление уникального пользовательского HTTP-заголовка к каждому запросу, который он пересылает в ALB. Затем ALB следует настроить таким образом, чтобы он пропускал только те запросы, которые содержат этот конкретный заголовок. Любые запросы, поступающие напрямую в ALB без этого заголовка, будут отклонены, тем самым предотвращая прямой доступ к ALB и инстансам EC2. Настройка политики ключа кэша CloudFront для разрешения пользовательского заголовка не гарантирует, что запросы будут проходить только через CloudFront, так как это влияет на кэширование, а не на маршрутизацию. Использование заголовка X-Forwarded-For предназначено для отслеживания исходного IP-адреса клиента, а не для ограничения доступа. Использование одного и того же сертификата X.509 из ACM обеспечивает шифрование, но не контролирует, откуда поступают запросы.