某公司在 us-east-1 的 S3 儲存桶中託管一個公共網站，並透過 Amazon CloudFront distribution 提供服務。該公司需要防範 DDoS 攻擊，並需要精確控制觸發緩解措施的速率閾值。哪種部署方式能滿足此需求？

正確答案是建立一個全域 (CloudFront 範圍) 的 AWS WAF web ACL，其預設動作為允許。新增一個 AWS WAF 速率型規則來阻擋符合條件的請求。將 web ACL 與 CloudFront distribution 關聯。這是因為 AWS WAF 必須部署在 CloudFront 前面才能保護其後方的資源，且 CloudFront 上的 WAF 必須是全域範圍。預設動作應為「允許」，以確保合法流量通過，而速率型規則則用於精確控制和阻擋惡意流量，有效防範 DDoS 攻擊。 將 web ACL 與 S3 儲存桶關聯是錯誤的，因為 S3 不直接支援 WAF 整合，WAF 應部署在 CloudFront 前。預設動作為「阻擋」會阻擋所有流量，包括合法流量，不符合網站營運需求。