一家公司通过CloudFront使用域名www.example.com为其网站提供服务，并拥有该域名的ACM证书。所有到CloudFront的连接都必须使用TLS。SysOps管理员应执行哪两项操作来强制执行加密的查看器连接？（选择两项。）

要强制执行加密的查看器连接，首先需要确保CloudFront分发能够响应HTTPS请求，这通过在CloudFront分发上添加www.example.com作为备用域名（CNAME）并选择ACM证书来实现，这样CloudFront就能使用该证书进行TLS握手。其次，为了确保所有连接都使用TLS，需要将每个缓存行为的Viewer Protocol Policy设置为“Redirect HTTP to HTTPS”。这将自动将所有HTTP请求重定向到HTTPS，从而强制加密连接。 将Viewer Protocol Policy设置为“允许HTTP和HTTPS”不符合强制加密连接的要求。将AWS WAF web ACL附加到CloudFront分发用于安全防护，但与强制TLS连接无关。在CloudFront源上启用Origin Shield是为了优化性能和减少源站负载，与查看器连接的加密无关。