Una distribución de CloudFront tiene un único bucket de Amazon S3 como origen. El administrador debe asegurarse de que los objetos en el bucket solo se puedan recuperar a través de CloudFront, no mediante URL directas de S3. ¿Qué configuración logra este requisito?

La opción correcta es crear una Identidad de Acceso de Origen (OAI), asignarla a la distribución de CloudFront y actualizar la política del bucket de S3 para permitir el acceso solo a esa OAI. Esto asegura que CloudFront pueda acceder a los objetos del bucket, mientras que las solicitudes directas a las URL de S3 serán denegadas, ya que no provienen de la OAI autorizada. Habilitar S3 Block Public Access y cambiar la política del bucket es una buena práctica de seguridad, pero por sí solo no restringe el acceso exclusivamente a CloudFront; aún podría permitir el acceso público si la política lo permite. Habilitar Origin Shield mejora el rendimiento y reduce la carga del origen, pero no controla el acceso. Adjuntar una OAI al bucket de S3 y usar un encabezado personalizado no es la forma correcta de configurar la OAI para restringir el acceso; la OAI se asocia a la distribución de CloudFront y se usa en la política del bucket.