Un arquitecto de soluciones debe diseñar un sitio web estático utilizando Amazon CloudFront con un origen de Amazon S3. La política de seguridad de la empresa exige que todo el tráfico del sitio web sea inspeccionado por AWS WAF. ¿Cómo debe el arquitecto de soluciones cumplir este requisito?

La opción correcta es configurar Amazon CloudFront y Amazon S3 para usar una identidad de acceso de origen (OAI) y habilitar AWS WAF en la distribución. La OAI es fundamental para restringir el acceso directo al bucket de S3, asegurando que solo CloudFront pueda acceder a su contenido. Esto es una práctica de seguridad estándar para sitios web estáticos en S3 con CloudFront. Habilitar AWS WAF directamente en la distribución de CloudFront es la forma correcta de inspeccionar todo el tráfico del sitio web, ya que CloudFront es el punto de entrada para los usuarios. Las otras opciones son incorrectas: Configurar una política de bucket de S3 para aceptar solo las solicitudes provenientes del ARN de AWS WAF no es posible, ya que AWS WAF no tiene un ARN que pueda usarse de esta manera para restringir el acceso a S3. Configurar Amazon CloudFront para reenviar todas las solicitudes entrantes a AWS WAF antes de solicitar contenido del origen de S3 no es la forma en que funciona WAF; WAF se asocia directamente a la distribución de CloudFront y filtra las solicitudes antes de que lleguen al origen. Configurar un grupo de seguridad que permita que las direcciones IP de Amazon CloudFront accedan solo a Amazon S3 no es aplicable a S3, ya que S3 es un servicio de almacenamiento de objetos sin grupos de seguridad asociados directamente a sus buckets.