Une distribution CloudFront a un seul bucket Amazon S3 comme origine. L'administrateur doit s'assurer que les objets du bucket ne peuvent être récupérés que via CloudFront, et non par des URL S3 directes. Quelle configuration répond à cette exigence ?

La bonne approche consiste à créer une identité d'accès à l'origine (OAI) pour CloudFront. Cette OAI est ensuite associée à la distribution CloudFront. Enfin, la politique de compartiment S3 est modifiée pour n'autoriser l'accès en lecture aux objets du compartiment qu'à cette OAI spécifique. Cela garantit que CloudFront peut récupérer le contenu, tandis que les tentatives d'accès direct au compartiment S3 via des URL S3 échouent, car elles ne proviennent pas de l'OAI autorisée. L'activation de S3 Block Public Access et la modification de la politique de compartiment ne suffisent pas à elles seules, car cela pourrait bloquer l'accès de CloudFront si la politique n'est pas configurée précisément pour l'OAI. Origin Shield est une fonctionnalité de mise en cache et non de sécurité d'accès. Attacher une OAI directement au compartiment S3 ou ajouter un en-tête personnalisé contenant l'OAI n'est pas le mécanisme correct pour restreindre l'accès S3 à CloudFront.