Uma distribuição CloudFront tem um único bucket Amazon S3 como sua origem. O administrador deve garantir que os objetos no bucket possam ser recuperados apenas via CloudFront, e não por URLs diretas do S3. Qual configuração atende a esse requisito?

A criação de uma Origin Access Identity (OAI) e sua atribuição à distribuição CloudFront, seguida pela atualização da política do bucket S3 para permitir acesso somente à OAI, é a maneira correta de restringir o acesso direto ao bucket S3. A OAI atua como um usuário de serviço que o CloudFront pode usar para acessar os objetos no bucket, enquanto a política do bucket nega o acesso público direto. Habilitar o S3 Block Public Access e alterar a política do bucket para permitir GetObject apenas do CloudFront não é suficiente, pois o Block Public Access pode impedir o CloudFront de acessar o bucket se não houver uma OAI configurada. Habilitar o Origin Shield e adicionar um cabeçalho customizado não controla o acesso direto ao S3, apenas otimiza o cache do CloudFront. Criar uma OAI e anexá-la ao bucket S3, adicionando um cabeçalho customizado Origin, está incorreto porque a OAI é atribuída à distribuição CloudFront e a política do bucket é que concede o acesso.