Trusted Advisor marca una política de bucket de S3 que permite el acceso abierto. El propietario del bucket explica que el bucket se utiliza como origen para una distribución de CloudFront. ¿Cuál es la acción adecuada para garantizar que los objetos en S3 se sirvan solo a través de CloudFront y no directamente desde las URL de S3?

La creación de una Identidad de Acceso de Origen (OAI) de CloudFront es la acción adecuada. Una OAI es una entidad especial de CloudFront que se utiliza para restringir el acceso directo a los objetos de un bucket de S3. Al otorgar permisos de lectura a la OAI en la política del bucket de S3, se asegura que solo CloudFront pueda acceder a los objetos, impidiendo el acceso directo a través de las URL de S3. Las otras opciones son incorrectas: Cifrar los objetos con SSE-S3 protege los datos en reposo, pero no restringe el acceso a través de URL directas de S3. Agregar un usuario de IAM para CloudFront no es la práctica recomendada; CloudFront utiliza OAI para este propósito. Crear un rol de IAM para CloudFront tampoco es el mecanismo estándar para restringir el acceso al origen de S3; la OAI está diseñada específicamente para esta integración.