Uma distribuição CloudFront usa uma OAI (origin access identity) para acessar um bucket S3 privado. O bucket nega acesso a todos os outros. O aplicativo exige que os usuários visualizem uma página de login pública e, em seguida, recebam cookies assinados para acessar diretórios privados. A distribuição usa o comportamento de cache padrão com acesso restrito do visualizador apontado para a origem S3. O acesso à página de login retorna um erro 403 Forbidden. Como o desenvolvedor pode permitir o acesso não autenticado à página de login, mantendo o conteúdo privado seguro?

A solução correta é adicionar um segundo comportamento de cache. O CloudFront processa os comportamentos de cache na ordem em que aparecem na lista, do mais específico ao mais geral. Ao criar um novo comportamento de cache com um padrão de caminho que corresponda especificamente à página de login (por exemplo, /login.html) e configurá-lo para acesso irrestrito do visualizador, as solicitações para essa página específica serão atendidas sem exigir autenticação. O comportamento de cache padrão, que tem acesso restrito e usa a OAI, continuará a proteger todo o outro conteúdo do S3, garantindo que apenas usuários com cookies assinados possam acessá-lo. As outras opções estão incorretas porque: A segunda opção inverte a lógica, tornando o padrão de cache restrito e o da página de login irrestrito, o que não protege o conteúdo privado. A terceira opção de failover não é o mecanismo correto para controlar o acesso a diferentes caminhos dentro da mesma origem. A quarta opção de política de bucket S3 e função CloudFront é excessivamente complexa e não aproveita a funcionalidade de comportamento de cache do CloudFront para gerenciar o acesso de forma eficiente.