特定のIPアドレスからのみアクセスを許可する「IPホワイトリスト」を実装する最適な場所はどれか。

セキュリティのベストプラクティスとして、IP制限はPega層ではなくインフラ層(ロードバランサーやWAF)で制御すべきです。