Просто идея, но может показаться, что вы могли бы использовать пользовательские домены для этого?
Если вы посмотрите на пользовательские домены, сделайте c, вы могли бы иметь свой собственный указывающий домен на вашем api, что-то вроде api.my-domain.com/, которое создаст дистрибутив Cloudfront для вашего API.
Еще одна вещь, которую вы можете изучить, если домен Cloudfront, который вы получаете, не допускает настройки, которые вы получаете , эта статья о том, как чтобы полностью настроить дистрибутив CF , после чего добавление WAF не должно быть проблемой?