Ein SysOps-Administrator hostet eine statische Website in einem Amazon S3-Bucket und möchte sicherstellen, dass Besucher die Website nur über eine einzige CloudFront-Distribution erreichen können. Benutzer dürfen CloudFront nicht umgehen und direkt auf den S3-Website-Endpunkt zugreifen können. Welche AWS-Funktion sollte der Administrator verwenden, um diese Anforderung durchzusetzen?

Eine Origin Access Identity (OAI) ist die korrekte Lösung. Eine OAI ist ein spezieller CloudFront-Benutzer, der mit einer CloudFront-Distribution verknüpft ist. Durch die Konfiguration einer S3-Bucket-Richtlinie, die nur dieser OAI den Zugriff erlaubt, wird sichergestellt, dass Benutzer den S3-Bucket nicht direkt umgehen können. Anfragen, die nicht über die CloudFront-Distribution kommen, werden von S3 abgelehnt. Eine S3-Bucket-ACL, die den öffentlichen Zugriff einschränkt, würde den direkten Zugriff nicht vollständig verhindern, da sie nur Berechtigungen auf Objektebene steuert. AWS Firewall Manager ist für die Verwaltung von Firewall-Regeln über mehrere Konten hinweg gedacht und nicht primär für die Beschränkung des direkten S3-Zugriffs in diesem spezifischen Szenario. Eine private gehostete Amazon Route 53-Zone ist für die Namensauflösung innerhalb eines VPCs gedacht und hat keinen Einfluss auf die Zugriffskontrolle auf einen öffentlichen S3-Bucket.