Um arquiteto de soluções deve projetar um site estático usando Amazon CloudFront com uma origem Amazon S3. A política de segurança da empresa exige que todo o tráfego do site seja inspecionado pelo AWS WAF. Como o arquiteto de soluções deve atender a esse requisito?

A opção correta é configurar o CloudFront e o S3 com uma OAI e habilitar o AWS WAF na distribuição. A OAI restringe o acesso direto ao bucket S3, garantindo que o conteúdo seja acessado apenas via CloudFront. Isso é crucial porque o AWS WAF só pode inspecionar o tráfego que passa pela distribuição do CloudFront. Se o S3 permitisse acesso direto, o tráfego poderia contornar o WAF. A primeira opção está incorreta porque o AWS WAF não possui um ARN que possa ser usado em uma política de bucket S3 para restringir o acesso. O WAF opera em uma camada diferente. A segunda opção está incorreta porque o CloudFront não "encaminha" solicitações para o WAF; o WAF é integrado ao CloudFront e inspeciona as solicitações antes que elas cheguem à origem. A terceira opção está incorreta porque security groups não se aplicam diretamente ao S3, que é um serviço de armazenamento de objetos sem uma interface de rede tradicional para security groups.