某公司使用 Amazon API Gateway 和 AWS Lambda 運行一個公開的無伺服器應用程式。最近，由於惡意的殭屍網路請求，流量激增。解決方案架構師應採取哪些步驟來阻擋來自未經授權使用者的請求？（選擇兩項）

建立使用計畫並搭配 API 金鑰，能有效限制對 API 的存取。只有持有有效金鑰的合法使用者才能發出請求，這能阻擋未經授權的殭屍網路流量。實作 AWS WAF 規則是另一種強大的防禦機制。WAF 可以在 API Gateway 前端過濾惡意請求，例如基於 IP 位址、地理位置或特定請求模式的阻擋，有效緩解 DDoS 攻擊和殭屍網路流量。 在 Lambda 函數中新增邏輯來忽略惡意 IP 位址，效率較低且維護成本高，因為惡意 IP 位址會不斷變化。將公開 API 轉換為私有 API 會完全改變其用途，使其無法被公開存取，不符合公開應用程式的需求。為每個使用者建立 IAM 角色過於複雜，且不適用於公開應用程式的匿名或大量使用者。