一家醫療公司在 Auto Scaling group 中，透過 Application Load Balancer (ALB) 在 EC2 執行個體上運行 REST API。ALB 位於三個公開子網路中，而 EC2 執行個體位於三個私有子網路中。CloudFront distribution 使用 ALB 作為來源。解決方案架構師應建議什麼來加強來自 CloudFront 的請求的來源安全性（保護 ALB 免受直接存取）？

正確答案透過在 CloudFront 和 ALB 之間建立共享秘密來增強來源安全性。CloudFront 在請求中添加一個自定義 HTTP 標頭，其中包含儲存在 Secrets Manager 中的秘密字串。ALB 上的 AWS WAF 規則會驗證此標頭。如果標頭不存在或不匹配，WAF 會阻止請求，確保只有來自 CloudFront 的授權請求才能到達 ALB。Secrets Manager 支援自動輪換，提高了安全性。 選項二將 ALB 移至私有子網路會使其無法從網際網路直接存取，但 CloudFront 仍需要存取。使用 CloudFront IP 範圍的 WAF 規則不夠安全，因為這些 IP 可能會被冒用。 選項三使用 Parameter Store 進行秘密管理，但未指定如何強制執行標頭檢查，且 Parameter Store 不像 Secrets Manager 那樣專為秘密輪換設計。 選項四的 AWS Shield Advanced 主要用於 DDoS 防護，而非來源存取控制。安全群組策略無法直接與 Shield Advanced 整合以實現此目的，且僅依賴 IP 範圍不足以防止直接存取。