直接Elastic BeanstalkのインスタンスにアクセスしてAWS WAFを回避する方法

Question

現在、WAFの背後に置いておきたいVPC内にElastic Beanstalk Webアプリケーションがあります。これを行うために、CloudFrontにWAFを追加しました。セキュリティのために、セキュリティグループ（これらのIPアドレスが変更されたときに自動更新）を使用して行ったAWS CloudFront IPアドレスからのみElastic Beanstalkアプリケーションへのアクセスを有効にしました。

しかし、自分のEBアプリケーションのWebアドレスを自分のCloudFrontインスタンスに追加するのを止めるのは、VPCセキュリティグループのIPアドレスの制限を迂回し、WAFを経由せずにアクセスできるようにすることですか？

Answer 1

ここで役立つのは、CloudFrontディストリビューション（http://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/forward-custom-headers.html）に秘密のカスタムヘッダーを追加して、ヘッダーの有無を確認することです。これにより、自分のディストリビューションだけがオリジンサーバーからデータを取得できるようになります。