Un desarrollador aloja un sitio web estático y público en un bucket de S3 y lo entrega a través de CloudFront. El requisito es que los usuarios no puedan recuperar contenido directamente del bucket de S3; todo el acceso debe realizarse a través de la distribución de CloudFront. ¿Qué solución impone este requisito?

La opción correcta es crear un Control de Acceso de Origen (OAC) de CloudFront. El OAC permite que CloudFront acceda de forma segura a los buckets de S3, incluso si están configurados para bloquear el acceso público. Al configurar el origen de la distribución para usar el OAC y actualizar la política del bucket de S3 para otorgar acceso de lectura al OAC, se asegura que el contenido solo sea accesible a través de CloudFront, impidiendo el acceso directo al bucket de S3. Las otras opciones son incorrectas porque: Habilitar "Block All Public Access" de S3 y otorgar acceso de escritura a CloudFront es incorrecto; CloudFront solo necesita acceso de lectura y el acceso de escritura no es relevante para servir contenido estático. Habilitar el alojamiento de sitios web estáticos en S3 y usar el punto de conexión del sitio web de S3 como origen de CloudFront no impide el acceso directo al bucket de S3 a través de su URL de sitio web estático. Agregar un encabezado personalizado y usar aws:RequestTag/tag-key no es un mecanismo de seguridad estándar para restringir el acceso directo a buckets de S3 desde CloudFront y no es la forma más segura o recomendada de lograr este requisito.