Una empresa aloja un servidor web en AWS y almacena el contenido del sitio en un bucket de Amazon S3. Un ingeniero de seguridad debe usar Amazon CloudFront para acelerar la entrega de contenido, y el contenido de S3 no debe ser accesible públicamente directamente desde el bucket. ¿Qué solución cumple con estos requisitos?

La opción correcta es crear un Control de Acceso de Origen (OAC) porque es el método recomendado y más seguro para restringir el acceso a un bucket de S3 solo a una distribución de CloudFront. El OAC permite que CloudFront firme las solicitudes a S3, y la política del bucket de S3 se configura para confiar solo en esas solicitudes firmadas por el OAC. Esto asegura que el contenido de S3 no sea accesible directamente desde el bucket, cumpliendo el requisito de seguridad. Las otras opciones son incorrectas: Configurar permisos en objetos individuales de S3 es ineficiente y no garantiza que solo CloudFront acceda. Crear un rol de S3 en IAM no es el mecanismo directo para que CloudFront acceda a S3 de forma segura; el OAC es el método diseñado para esto. Una política de bucket de S3 que especifique solo el ID de la distribución de CloudFront como principal no es suficiente para asegurar el acceso, ya que el ID de la distribución no es una entidad IAM que pueda asumir un rol o ser un principal directo en una política de bucket de S3 para este propósito.