开发人员在 S3 存储桶中托管一个静态公共网站，并通过 CloudFront 交付。要求是用户不能直接从 S3 存储桶检索内容——所有访问都必须通过 CloudFront 分配。哪种解决方案可以强制执行此要求？

此解决方案通过 CloudFront 源访问控制 (OAC) 确保所有内容都通过 CloudFront 访问。OAC 允许 CloudFront 安全地从 S3 存储桶获取内容，而无需将存储桶公开为公共访问。通过更新 S3 存储桶策略以仅授予 OAC 读取访问权限，可以直接从 S3 存储桶进行的访问被阻止。 其他选项不正确： 启用 S3 的“阻止所有公共访问”设置是正确的，但授予 CloudFront 写入访问权限是错误的，CloudFront 只需要读取权限来分发内容。 在 S3 存储桶上启用静态网站托管并使用 S3 网站端点作为 CloudFront 源，将允许用户直接通过 S3 网站端点访问内容，这违反了要求。 添加自定义标头并使用 aws:RequestTag/tag-key 条件是用于限制访问的机制，但它通常用于基于标签的访问控制，而不是强制所有流量通过 CloudFront。OAC 是专门为此用例设计的更安全、更直接的解决方案。