一家公司将网站图片存储在 Amazon S3 存储桶中，并使用 Amazon CloudFront 进行分发。该公司发现有来自其没有分发权的国家/地区的访问。公司应采取哪些措施来保护图片并限制分发？（选择两项。）

首先，更新 S3 存储桶策略以仅允许通过 CloudFront 源访问控制 (OAC) 进行访问，可以确保图片只能通过 CloudFront 分发。这防止了用户直接访问 S3 存储桶，从而绕过 CloudFront 的安全控制。其次，为公司未获得许可的国家/地区添加 CloudFront 地理限制拒绝列表，可以直接阻止来自这些地区的请求到达 CloudFront 边缘站点，从而有效限制了图片的分发。 更新网站的 DNS 使用 Route 53 地理位置记录可以控制 DNS 解析，但无法阻止直接访问 CloudFront 或 S3。使用拒绝列表更新 S3 存储桶策略以限制国家/地区是无效的，因为 S3 存储桶策略不支持基于地理位置的限制。在 CloudFront 中启用 Restrict Viewer Access 是用于签名 URL 或签名 Cookie 的，与地理限制无关。