Ein Unternehmen entwickelt eine Dateifreigabeanwendung, die Dateien in einem Amazon S3-Bucket speichert und diese über eine Amazon CloudFront-Distribution bereitstellt. Das Unternehmen möchte nicht, dass Benutzer direkt über die S3-URL auf Dateien zugreifen. Was sollte ein Solutions Architect tun, um diese Anforderungen zu erfüllen?

Die Erstellung einer Origin Access Identity (OAI) und deren Zuweisung zur CloudFront-Distribution ist die korrekte Methode, um den direkten Zugriff auf S3-Dateien zu verhindern. Eine OAI ist ein spezieller CloudFront-Benutzer, der Zugriff auf den S3-Bucket erhält. Durch die Konfiguration der S3-Bucket-Berechtigungen, sodass nur die OAI Leseberechtigungen hat, wird sichergestellt, dass Benutzer nur über CloudFront auf die Inhalte zugreifen können. Individuelle Richtlinien für jeden S3-Bucket zu schreiben, ist ineffizient und unsicher, da es den direkten Zugriff nicht verhindert. Das Erstellen eines IAM-Benutzers für CloudFront ist nicht der empfohlene Weg, um CloudFront den Zugriff auf S3 zu ermöglichen, und bietet keine Kontrolle über den direkten Zugriff. Eine S3-Bucket-Richtlinie, die die CloudFront-Distributions-ID als Principal festlegt, ist nicht die korrekte Syntax oder Methode, um dies zu erreichen; eine OAI ist dafür vorgesehen.