Uma empresa hospeda um servidor web na AWS e armazena o conteúdo do site em um bucket do Amazon S3. Um engenheiro de segurança deve usar o Amazon CloudFront para acelerar a entrega de conteúdo, e o conteúdo do S3 não deve ser acessível publicamente diretamente do bucket. Qual solução atende a esses requisitos?

A solução correta é criar um Controle de Acesso de Origem (OAC), associá-lo à distribuição do CloudFront e configurar a política do bucket S3 para permitir acesso apenas do OAC. O OAC é a maneira recomendada e mais segura de restringir o acesso ao bucket S3, garantindo que apenas o CloudFront possa buscar o conteúdo. Configurar permissões em objetos individuais do S3 é ineficiente e difícil de gerenciar em escala. Criar uma função S3 no IAM não é o mecanismo correto para controlar o acesso do CloudFront ao S3; o OAC é projetado especificamente para essa integração. Criar uma política de bucket S3 especificando apenas o ID da distribuição do CloudFront como principal não é suficiente para garantir a segurança, pois o OAC fornece uma camada de segurança mais robusta e gerenciável, incluindo a assinatura de solicitações.