Um desenvolvedor hospeda um site estático e público em um bucket S3 e o entrega por meio do CloudFront. O requisito é que os usuários não possam recuperar conteúdo diretamente do bucket S3 — todo o acesso deve passar pela distribuição do CloudFront. Qual solução impõe esse requisito?

A criação de um CloudFront Origin Access Control (OAC) é a solução correta para restringir o acesso direto ao bucket S3. O OAC permite que o CloudFront acesse o bucket S3 de forma segura, enquanto a política do bucket S3 é atualizada para permitir acesso de leitura SOMENTE através do OAC. Isso garante que os usuários não possam contornar o CloudFront e acessar o conteúdo diretamente do S3. As outras opções estão incorretas porque: Habilitar "Block All Public Access" e conceder acesso de gravação ao CloudFront não é a intenção e não impede o acesso direto se o bucket não estiver configurado corretamente. Habilitar a hospedagem de site estático e usar o endpoint do site S3 como origem do CloudFront ainda permite acesso direto ao bucket S3, o que viola o requisito. Adicionar um cabeçalho personalizado e usar uma condição aws:RequestTag não é um mecanismo de segurança robusto para restringir o acesso direto ao S3 e é mais complexo do que o OAC.