Um engenheiro de segurança precisa configurar uma distribuição do Amazon CloudFront na frente de um bucket do Amazon S3 que hospeda um site estático. O acesso deve ser permitido apenas a partir de um conjunto especificado de endereços IP de clientes, e os usuários não devem conseguir acessar o conteúdo diretamente por meio de URLs do S3. Qual solução atende a esses requisitos?

A solução correta utiliza um OAC para garantir que o bucket S3 só possa ser acessado pelo CloudFront, impedindo acesso direto via URLs do S3. A política do bucket S3 é atualizada para permitir acesso apenas do OAC. Para restringir o acesso a endereços IP específicos, uma ACL da web do AWS WAF com uma regra de conjunto de IP é criada e associada à distribuição do CloudFront. A opção de anexar uma política de bucket com cloudfront.amazonaws.com como principal e aws:SourceIp não é suficiente, pois aws:SourceIp em uma política de bucket S3 veria o IP do CloudFront, não o IP do cliente final. Usar grupos de segurança não é aplicável a buckets S3. Criar um ponto de acesso S3 não substitui a necessidade de um OAC para restringir o acesso direto ao S3 e não resolve a filtragem de IP na borda do CloudFront.