Q67 — AWS SAP-C02 第1章

第 67/75 题 | ← 返回第1章

Q142. 一家公司在私有子网中的一组 Amazon EC2 实例上运行应用程序，实例位于面向互联网的 Application Load Balancer (ALB) 后面。ALB 是 Amazon CloudFront 分配的源。一个包含各种 AWS 托管规则的 AWS WAF Web ACL 与 CloudFront 分配关联。公司需要一个防止互联网流量直接访问 ALB 的解决方案。哪个解决方案以最少的运维开销满足这些要求？

• A. 创建包含与现有 Web ACL 相同规则的新 Web ACL。将新 Web ACL 与 ALB 关联。
• B. 将现有 Web ACL 与 ALB 关联。
• C. 向 ALB 添加安全组规则，仅允许来自 CloudFront 的 AWS 托管前缀列表的流量。 ✓
• D. 向 ALB 添加安全组规则，仅允许来自各种 CloudFront IP 地址范围的流量。

正确答案: C. 向 ALB 添加安全组规则，仅允许来自 CloudFront 的 AWS 托管前缀列表的流量。

解析

为防止互联网流量直接访问 ALB，推荐的解决方案是： C. 向 ALB 添加安全组规则，仅允许来自 CloudFront 的 AWS 托管前缀列表的流量。 说明： AWS 提供了 CloudFront 源站访问的托管前缀列表，由 AWS 自动维护。使用此前缀列表配置安全组是最简单的方式，运维开销最少。