Приложение обслуживает клиентов в более чем 20 000 розничных магазинах по всему миру. Внутренние веб-сервисы работают на Amazon EC2 за Application Load Balancer (ALB) и доступны по HTTPS на порту 443. Розничные точки обмениваются данными через общедоступный интернет и регистрируют свой выделенный IP-адрес интернет-провайдера. Команда безопасности хочет ограничить доступ только зарегистрированными IP-адресами. Что должен сделать архитектор решений?

Правильный ответ — связать веб-ACL AWS WAF с ALB и использовать наборы правил IP. AWS WAF позволяет фильтровать веб-трафик на основе IP-адресов, что идеально подходит для ограничения доступа только зарегистрированными розничными точками. Вы можете легко обновлять список разрешенных IP-адресов в правиле WAF. Развертывание AWS Firewall Manager избыточно для этой конкретной задачи, так как WAF напрямую интегрируется с ALB для управления IP-адресами. Хранение IP-адресов в DynamoDB с функцией Lambda для авторизации добавляет ненужную сложность и задержку, так как WAF предоставляет встроенную функциональность для этой цели. Настройка сетевого ACL в подсети, содержащей публичный интерфейс ALB, неэффективна, так как сетевые ACL работают на уровне подсети и не могут быть динамически обновлены для тысяч IP-адресов без значительных операционных накладных расходов. Кроме того, ALB уже имеет публичный интерфейс, и сетевой ACL будет применяться ко всему трафику подсети, а не только к ALB.