Ein Entwickler hostet eine statische, öffentliche Website in einem S3-Bucket und stellt sie über CloudFront bereit. Die Anforderung ist, dass Benutzer Inhalte nicht direkt aus dem S3-Bucket abrufen können dürfen – jeder Zugriff muss über die CloudFront-Distribution erfolgen. Welche Lösung erzwingt diese Anforderung?

Die Erstellung einer CloudFront Origin Access Control (OAC) ist die empfohlene Methode, um den direkten Zugriff auf einen S3-Bucket zu verhindern, während CloudFront der Zugriff erlaubt wird. OACs bieten eine verbesserte Sicherheit im Vergleich zu Origin Access Identities (OAIs), da sie OIDC (OpenID Connect) verwenden und sowohl statische als auch dynamische Inhalte unterstützen. Durch die Konfiguration des CloudFront-Origins zur Verwendung der OAC und die Aktualisierung der S3-Bucket-Richtlinie, um der OAC Lesezugriff zu gewähren, wird sichergestellt, dass nur Anfragen über CloudFront den S3-Inhalt abrufen können. Die Option "Block All Public Access" von S3 alleine würde den Zugriff für CloudFront ebenfalls blockieren, und CloudFront benötigt nur Lesezugriff, nicht Schreibzugriff. Die Aktivierung des statischen Website-Hostings mit dem S3-Website-Endpunkt als CloudFront-Origin würde den direkten Zugriff auf den S3-Bucket über den Website-Endpunkt weiterhin ermöglichen. Das Hinzufügen eines benutzerdefinierten Headers ist keine sichere Methode, da Header leicht gefälscht werden können und keine robuste Authentifizierung bieten.