ALBへの直接アクセスを防ぐ

正解は ウ です。 CloudFrontのオリジン向け マネージドプレフィックスリスト をALBのSGで許可すると、 CloudFront以外からの直接アクセス を遮断できます。VPCオリジンでALBを非公開にする方法もあります。 対策 直接アクセスの遮断 SGでCloudFrontのプレフィックスリストだけ許可 ○ VPCオリジン（ALBを非公開に） ○ HTTPSのみ × CloudFrontのIPは多く変動するため、手作業の許可リストの管理は難しい。 ALBのDNS名は公開のものであり、隠しても到達は防げない。 ALBへの通信の送信元をCloudFrontに限定でき、直接アクセスを防げる。 暗号化の有無であり、経路の制限にならない。

CloudFrontとWAFでWebアプリを保護している。しかし攻撃者がALBのDNS名を見つけ、CloudFrontを経由せずにALBへ直接アクセスしている。

最も適切なものを1つ選択してください。

出典AWS非公式・オリジナル問題
ア
WAFのWeb ACLをALBにも関連付け、CloudFrontのIP範囲を手作業で許可リストに登録する
イ
Route 53でALBのDNS名を非公開にする
ウ
ALBのSGで、CloudFrontのマネージドプレフィックスリストだけを許可する
エ
ALBのリスナーでHTTPSだけを受け付け、HTTPはリダイレクトする