Um administrador SysOps hospeda um site estático em um bucket S3 e quer garantir que os visitantes só possam acessar o site por meio de uma única distribuição CloudFront. Os usuários não devem conseguir ignorar o CloudFront e acessar o endpoint do site S3 diretamente. Qual recurso da AWS o administrador deve usar para impor esse requisito?

Uma Origin Access Identity (OAI) é a solução correta porque permite que o CloudFront acesse objetos em um bucket S3, enquanto impede que os usuários finais acessem o bucket S3 diretamente. Ao configurar o CloudFront para usar uma OAI, você pode restringir o acesso ao bucket S3 para que apenas o CloudFront possa lê-lo, garantindo que todo o tráfego passe pela distribuição do CloudFront. Uma ACL de bucket S3 que restringe o acesso público não é suficiente, pois ainda permitiria o acesso direto se as permissões fossem configuradas incorretamente para o CloudFront. O AWS Firewall Manager é para gerenciar regras de firewall em vários serviços e não é a ferramenta principal para restringir o acesso direto ao S3 de uma distribuição CloudFront. Uma zona hospedada privada do Amazon Route 53 é para resolução de DNS dentro de uma VPC e não controla o acesso ao bucket S3.