Bir web uygulaması, iki özel kaynakla Amazon CloudFront kullanır: bir kaynak bir Amazon API Gateway HTTP API'ye (JWT yetkilendirici kullanan) iletir ve diğer kaynak bir Application Load Balancer'a (ALB) iletir. Uygulama bir OpenID Connect (OIDC) kimlik sağlayıcı (IdP) kullanır. Bir güvenlik denetimi, API'nin bir JWT yetkilendirici tarafından korunduğunu ancak ALB'nin kimliği doğrulanmamış istekleri kabul ettiğini bulur. Çözüm mimarı, her iki arka uç kaynağının da yalnızca kimliği doğrulanmış kullanıcılardan gelen istekleri kabul etmesini nasıl sağlayabilir?

Doğru cevap, ALB'yi OIDC IdP ile entegre ederek kimlik doğrulama ve yetkilendirme yapacak şekilde yapılandırmaktır. Bu yaklaşım, ALB'nin yalnızca kimliği doğrulanmış kullanıcıların isteklerini kabul etmesini sağlayarak güvenlik denetiminin bulgusunu doğrudan giderir. ALB'nin yerleşik kimlik doğrulama özelliklerini kullanmak, OIDC IdP ile sorunsuz entegrasyon sağlar. İmzalı URL'ler, CloudFront'a erişimi kısıtlar ancak ALB'ye gelen doğrudan istekleri korumaz. AWS WAF, bilinen kötü niyetli kalıpları engellemek için tasarlanmıştır, ancak kimliği doğrulanmamış istekleri filtrelemek için uygun bir kimlik doğrulama mekanizması değildir. CloudTrail günlüklerini analiz eden bir Lambda işlevi, reaktif bir çözümdür ve proaktif olarak kimliği doğrulanmamış erişimi engellemez.