Bir uygulama, internete yönelik bir Application Load Balancer (ALB) arkasındaki özel alt ağlarda bulunan EC2 örnekleri üzerinde çalışmaktadır. ALB, bir CloudFront dağıtımı için origin'dir. Bir WAF web ACL (AWS tarafından yönetilen kurallarla birlikte) CloudFront dağıtımına eklenmiştir. Şirket, herhangi bir internet trafiğinin doğrudan ALB'ye ulaşmasını engellemek istemektedir. En az operasyonel yük ile bunu hangi seçenek başarır?

Doğru cevap, ALB'ye yalnızca AWS tarafından yönetilen CloudFront ön ek listesinden gelen trafiğe izin veren bir güvenlik grubu kuralı eklemektir. Bu, doğrudan internet erişimini engellerken CloudFront'un ALB'ye ulaşmasını sağlar. AWS tarafından yönetilen CloudFront ön ek listesi dinamik olarak güncellenir, bu da operasyonel yükü en aza indirir. Mevcut CloudFront web ACL'sini ALB ile ilişkilendirmek mümkün değildir çünkü CloudFront web ACL'leri yalnızca CloudFront dağıtımlarıyla ilişkilendirilebilir. Yeni bir WAF web ACL oluşturup ALB ile ilişkilendirmek teknik olarak mümkün olsa da, bu, CloudFront'un ALB'ye erişimini kontrol etmez ve ek yönetim yükü getirir. CloudFront IP adres aralıklarını manuel olarak güvenlik grubuna eklemek, bu aralıklar değiştiğinde sürekli güncelleme gerektireceği için yüksek operasyonel yük oluşturur.