O Trusted Advisor sinaliza uma política de bucket S3 que permite acesso aberto. O proprietário do bucket explica que o bucket é usado como a origem para uma distribuição CloudFront. Qual é a ação apropriada para garantir que os objetos no S3 sejam servidos apenas via CloudFront e não diretamente de URLs do S3?

A criação de uma CloudFront Origin Access Identity (OAI) é a solução correta porque ela permite que o CloudFront acesse objetos em um bucket S3 privado, garantindo que os usuários finais só possam acessar o conteúdo por meio da distribuição CloudFront. A OAI atua como uma entidade de serviço que o CloudFront usa para solicitar arquivos do S3, e a política do bucket S3 é atualizada para permitir acesso somente a essa OAI. Criptografar objetos com SSE-S3 não impede o acesso direto ao S3; apenas protege os dados em repouso. Adicionar um usuário IAM ou uma função IAM para o CloudFront não é o mecanismo projetado para essa integração específica e segura entre CloudFront e S3; a OAI é o método recomendado e mais seguro para restringir o acesso direto ao S3.