Un administrador de SysOps aloja un sitio web estático en un bucket de Amazon S3 y quiere asegurarse de que los visitantes solo puedan acceder al sitio a través de una única distribución de CloudFront. Los usuarios no deben poder omitir CloudFront y acceder directamente al endpoint del sitio web de S3. ¿Qué característica de AWS debería usar el administrador para hacer cumplir ese requisito?

Una Origin Access Identity (OAI) de CloudFront es la característica correcta porque permite que CloudFront acceda al bucket de S3, mientras que restringe el acceso directo al bucket por parte de los usuarios. Al configurar una OAI, se puede modificar la política de bucket de S3 para permitir el acceso solo desde esa OAI específica. Las ACL de bucket de S3 restringen el acceso público, pero no distinguen entre CloudFront y otros usuarios. AWS Firewall Manager es una herramienta de seguridad que gestiona reglas de firewall, pero no es la solución directa para restringir el acceso a un bucket de S3 solo a través de CloudFront. Una zona alojada privada de Route 53 se utiliza para la resolución de DNS dentro de una VPC y no controla el acceso público a un bucket de S3.