Trusted Advisor signale une politique de compartiment S3 qui autorise l'accès ouvert. Le propriétaire du compartiment explique que le compartiment est utilisé comme origine pour une distribution CloudFront. Quelle est l'action appropriée pour s'assurer que les objets dans S3 sont servis uniquement via CloudFront et non directement à partir des URL S3 ?

La création d'une identité d'accès à l'origine (OAI) CloudFront est la méthode standard et sécurisée pour restreindre l'accès à un compartiment S3 afin qu'il ne soit accessible que via CloudFront. L'OAI agit comme un utilisateur virtuel qui est autorisé à accéder au compartiment S3, et la politique de compartiment S3 est modifiée pour n'autoriser l'accès qu'à cette OAI. Cela empêche l'accès direct aux objets S3 via leurs URL S3, garantissant que tout le trafic passe par CloudFront. Le chiffrement SSE-S3 sécurise les données au repos mais ne contrôle pas l'accès. L'ajout d'un utilisateur IAM ou d'un rôle IAM pour CloudFront n'est pas la bonne approche ; CloudFront utilise spécifiquement les OAI pour cette intégration sécurisée.