Ein Lösungsarchitekt muss eine statische Website mit Amazon CloudFront und einem Amazon S3-Ursprung entwerfen. Die Sicherheitsrichtlinie des Unternehmens verlangt, dass der gesamte Website-Traffic von AWS WAF überprüft wird. Wie sollte der Lösungsarchitekt diese Anforderung erfüllen?

Die korrekte Antwort ist, CloudFront und S3 mit einer Origin Access Identity (OAI) zu konfigurieren und AWS WAF für die CloudFront-Distribution zu aktivieren. Eine OAI stellt sicher, dass S3-Inhalte nur über CloudFront zugänglich sind, was die direkte Umgehung von CloudFront und damit auch von WAF verhindert. AWS WAF wird direkt mit CloudFront verknüpft, um den gesamten Traffic zu überprüfen, bevor er den S3-Ursprung erreicht. Die Option, eine S3-Bucket-Richtlinie mit dem AWS WAF ARN zu konfigurieren, ist falsch, da WAF keine Anfragen direkt an S3 sendet; es filtert den Traffic, der über CloudFront läuft. Die Weiterleitung aller Anfragen von CloudFront an WAF ist nicht notwendig, da WAF direkt mit CloudFront integriert wird. Sicherheitsgruppen sind für S3 nicht relevant, da S3 ein Objektspeicherdienst ist und keine Netzwerkschnittstellen hat, die von Sicherheitsgruppen kontrolliert werden.