Bir uygulamaya hem bir CloudFront dağıtımı aracılığıyla hem de doğrudan internete yönelik bir Application Load Balancer (ALB) aracılığıyla erişilebilmektedir. Yönetici, uygulama kodunu değiştirmeden, uygulamaya yalnızca CloudFront aracılığıyla erişilebildiğinden ve doğrudan ALB aracılığıyla erişilemediğinden emin olmalıdır. Bunu hangi yapılandırma sağlar?

Doğru cevap, CloudFront'un origin yapılandırmasına özel bir HTTP başlığı ekleyerek ve ALB'de yalnızca bu başlığı ve değeri içeren istekleri kabul eden bir dinleyici kuralı oluşturarak, diğer tüm istekler için varsayılan olarak 403 (Yasak) döndürmektir. Bu, uygulamanın yalnızca CloudFront aracılığıyla erişilebilir olmasını sağlar çünkü CloudFront, ALB'ye gönderdiği her isteğe bu özel başlığı ekler. Doğrudan ALB'ye gelen isteklerde bu başlık bulunmayacağı için reddedilirler. Diğer seçenekler: ALB'yi dahiliye dönüştürmek, internetten erişimi tamamen engeller, ancak CloudFront'un da dahili ALB'ye erişmesini engeller. Lambda@Edge, bu senaryo için gereksiz yere karmaşık bir çözümdür ve daha basit bir ALB kuralı ile aynı sonuç elde edilebilir. Yeni bir dahili ALB oluşturmak ve özel başlık eklemek doğru bir yaklaşım olsa da, mevcut herkese açık ALB'yi doğrudan yapılandırmak daha basit ve daha az kesintili bir çözümdür.