Ein Unternehmen hostet einen Webserver auf AWS und speichert den Inhalt der Website in einem Amazon S3-Bucket. Ein Sicherheitsingenieur muss Amazon CloudFront verwenden, um die Bereitstellung von Inhalten zu beschleunigen, und der S3-Inhalt darf nicht direkt über den Bucket öffentlich zugänglich sein. Welche Lösung erfüllt diese Anforderungen?

Die korrekte Lösung ist, eine Origin Access Control (OAC) zu erstellen, diese mit der CloudFront-Distribution zu verknüpfen und die S3-Bucket-Richtlinie so zu konfigurieren, dass nur die OAC Zugriff hat. OAC ist der empfohlene und sicherste Weg, um CloudFront den Zugriff auf private S3-Buckets zu ermöglichen. Sie verhindert direkten öffentlichen Zugriff auf den S3-Bucket, während CloudFront die Inhalte bereitstellen kann. Die Konfiguration von Berechtigungen für einzelne S3-Objekte ist umständlich und skaliert nicht gut. Eine S3-Rolle in IAM ist für diesen Anwendungsfall nicht vorgesehen; OAC ist die spezifische Lösung für CloudFront-S3-Integration. Eine S3-Bucket-Richtlinie, die nur die CloudFront-Distributions-ID als Principal angibt, ist die ältere Methode (Origin Access Identity - OAI) und wird durch OAC ersetzt, da OAC verbesserte Sicherheitsfunktionen bietet, wie z.B. die Unterstützung von serverseitiger Verschlüsselung und die Möglichkeit, mehrere CloudFront-Distributionen mit einer OAC zu verbinden.