Bir medikal şirketi, bir Application Load Balancer'ın (ALB) arkasındaki bir Auto Scaling grubundaki EC2 örneklerinde bir REST API çalıştırmaktadır. ALB üç genel alt ağda, EC2 örnekleri ise üç özel alt ağdadır. Bir CloudFront dağıtımı, ALB'yi kaynak olarak kullanır. Bir çözümler mimarı, CloudFront'tan gelen istekler için kaynak güvenliğini (ALB'yi doğrudan erişimden koruyarak) güçlendirmek için ne önermelidir?

Doğru seçenek, CloudFront'tan gelen istekleri doğrulamak için özel bir HTTP başlığı ve AWS WAF kullanır. AWS Secrets Manager, bu başlık için gizli dizeyi güvenli bir şekilde saklar ve Lambda ile otomatik döndürme sağlar. AWS WAF, ALB ile ilişkilendirilerek yalnızca beklenen başlığı içeren isteklere izin verir ve doğrudan erişimi engeller. Diğer seçenekler neden yanlış: CloudFront IP adreslerini kullanmak, CloudFront'ın geniş ve dinamik IP aralıkları nedeniyle pratik değildir ve ALB'yi özel alt ağlara taşımak, CloudFront'ın genel bir hizmet olarak ALB'ye erişimini engeller. AWS Systems Manager Parameter Store'da otomatik döndürme özelliği yoktur ve ALB'nin veya arka ucun başlığı incelemesini sağlamak, ALB'nin kendisini doğrudan korumaz, uygulama katmanında ek mantık gerektirir. AWS Shield Advanced, DDoS koruması sağlar ancak kaynak güvenliği için bir kimlik doğrulama mekanizması sunmaz. Güvenlik grubu politikaları, CloudFront'ın dinamik IP aralıkları nedeniyle yönetimi zordur ve Shield Advanced'a politika ekleme gibi bir özellik yoktur.