Eine CloudFront-Distribution hat einen einzelnen Amazon S3-Bucket als Origin. Der Administrator muss sicherstellen, dass Objekte im Bucket nur über CloudFront abgerufen werden können, nicht über direkte S3-URLs. Welche Konfiguration erfüllt diese Anforderung?

Die Erstellung einer Origin Access Identity (OAI) und deren Zuweisung zur CloudFront-Distribution ist die korrekte Methode. Anschließend muss die S3-Bucket-Richtlinie so aktualisiert werden, dass sie nur der OAI Lesezugriff gewährt. Dies stellt sicher, dass Anfragen an den S3-Bucket, die nicht über CloudFront und die zugehörige OAI erfolgen, abgewiesen werden, wodurch der direkte Zugriff auf S3-Objekte verhindert wird. Das Aktivieren von S3 Block Public Access und das Ändern der Bucket-Richtlinie würde den direkten Zugriff blockieren, aber es ist komplexer, den Zugriff nur für CloudFront zu ermöglichen, ohne eine OAI zu verwenden. Origin Shield verbessert die Cache-Hit-Rate und reduziert die Last auf dem Origin, kontrolliert aber nicht den direkten Zugriff auf S3. Das Anhängen einer OAI an den S3-Bucket und das Hinzufügen eines benutzerdefinierten Headers ist keine gültige Konfiguration für die Zugriffskontrolle mit OAI.