Ein Sicherheitsingenieur muss eine Amazon CloudFront-Distribution vor einem Amazon S3-Bucket konfigurieren, der eine statische Website hostet. Der Zugriff darf nur von einem bestimmten Satz von Client-IP-Adressen zugelassen werden, und Benutzer dürfen nicht direkt über S3-URLs auf den Inhalt zugreifen können. Welche Lösung erfüllt diese Anforderungen?

Diese Lösung erfüllt alle Anforderungen. Eine CloudFront Origin Access Control (OAC) ist der empfohlene Weg, um den direkten S3-Zugriff zu verhindern, indem sie CloudFront autorisiert, auf den S3-Bucket zuzugreifen, während die S3-Bucket-Richtlinie aktualisiert wird, um nur die OAC zuzulassen. Eine AWS WAF Web-ACL, die mit der CloudFront-Distribution verknüpft ist und eine IP-Set-Regel enthält, beschränkt den Zugriff auf die angegebenen Client-IP-Adressen. Die erste Option ist falsch, da cloudfront.amazonaws.com als Principal nicht den Zugriff auf eine bestimmte CloudFront-Distribution beschränkt und aws:SourceIp in einer S3-Bucket-Richtlinie die Client-IP-Adresse des Anfragenden sieht, nicht die von CloudFront. Die dritte Option ist falsch, da Sicherheitsgruppen nicht für S3-Buckets gelten. Die vierte Option ist falsch, da S3-Zugriffspunkte den Zugriff auf den Bucket nicht auf eine CloudFront-Distribution beschränken können.