Bir şirket bir web uygulamasını AWS'ye taşıdı. Mimari, istekleri bir Application Load Balancer (ALB) yönlendiren bir Amazon CloudFront dağıtımı kullanır ve Amazon ECS uygulama işlemeyi yönetir. Bir güvenlik denetimi, uygulamanın hem CloudFront alanı hem de ALB uç noktası aracılığıyla doğrudan erişilebilir olduğunu buldu. Şirket, uygulamanın yalnızca CloudFront aracılığıyla erişilebilir olmasını şart koşuyor. Bu, EN AZ çabayla hangi çözümle başarılabilir?

Doğru cevap, ALB güvenlik grubu girişini yalnızca com.amazonaws.global.cloudfront.origin-facing CloudFront tarafından yönetilen ön ek listesinden erişime izin verecek şekilde güncellemektir. Bu çözüm, CloudFront'un ALB'ye erişmesine izin verirken, diğer tüm doğrudan erişimi engeller ve en az yönetim çabası gerektirir. AWS tarafından yönetilen bu ön ek listesi, CloudFront'un IP adresleri değiştikçe otomatik olarak güncellenir, böylece manuel IP yönetimi ihtiyacını ortadan kaldırır. Diğer seçenekler neden yanlış: Yeni bir güvenlik grubu oluşturmak ve ALB güvenlik grubunu buna göre güncellemek, CloudFront'un IP adreslerinin dinamik doğası nedeniyle sürdürülebilir değildir ve sürekli manuel güncelleme gerektirir. VPC arayüz uç noktası oluşturmak ve ALB şemasını internet-facing'den internal'a güncellemek, ALB'nin genel internetten tamamen erişilemez hale gelmesine neden olur ve CloudFront'un da erişimini engeller. AWS tarafından sağlanan ip-ranges.json belgesinden CloudFront IP adreslerini çıkarmak ve ALB güvenlik grubunu buna göre güncellemek, IP adresleri değiştikçe manuel güncelleme gerektireceği için yüksek yönetim yükü oluşturur.