Trusted Advisor kennzeichnet eine S3-Bucket-Richtlinie, die offenen Zugriff erlaubt. Der Bucket-Besitzer erklärt, dass der Bucket als Ursprung für eine CloudFront-Distribution verwendet wird. Welche Maßnahme ist geeignet, um sicherzustellen, dass Objekte in S3 nur über CloudFront und nicht direkt über S3-URLs bereitgestellt werden?

Eine CloudFront Origin Access Identity (OAI) ist die empfohlene Methode, um den Zugriff auf einen S3-Bucket zu beschränken, wenn dieser als Ursprung für CloudFront dient. Die OAI ist eine spezielle CloudFront-Identität, der in der S3-Bucket-Richtlinie Lesezugriff auf die Objekte gewährt wird. Dadurch kann CloudFront auf die Objekte zugreifen, während direkter Zugriff über S3-URLs blockiert wird. Das Verschlüsseln von Objekten mit SSE-S3 schützt die Daten im Ruhezustand, kontrolliert aber nicht den Zugriffspfad. Die Verwendung eines IAM-Benutzers oder einer IAM-Rolle für CloudFront ist nicht die vorgesehene Methode; OAI wurde speziell für diesen Anwendungsfall entwickelt und bietet eine sicherere und einfachere Konfiguration.