Une entreprise développe une application de partage de fichiers qui stocke les fichiers dans un compartiment Amazon S3 et les diffuse via une distribution Amazon CloudFront. L'entreprise ne souhaite pas que les utilisateurs accèdent directement aux fichiers via l'URL S3. Que doit faire un architecte de solutions pour satisfaire ces exigences ?

La création d'une identité d'accès à l'origine (OAI) est la méthode recommandée pour restreindre l'accès direct à un compartiment S3 tout en permettant à CloudFront de servir le contenu. L'OAI agit comme un utilisateur virtuel qui est autorisé à accéder au compartiment S3, et cette OAI est ensuite associée à la distribution CloudFront. Une politique de compartiment S3 est configurée pour n'autoriser que l'OAI à lire les objets, empêchant ainsi l'accès direct via l'URL S3. Les autres options sont incorrectes car : Écrire des politiques individuelles pour chaque compartiment S3 afin d'accorder des autorisations de lecture uniquement à CloudFront n'est pas une pratique standard et ne fournit pas le même niveau de sécurité qu'une OAI. Créer un utilisateur IAM pour CloudFront n'est pas la méthode appropriée pour gérer les autorisations d'accès à S3 pour CloudFront. Écrire une politique de compartiment S3 qui définit l'ID de distribution CloudFront comme Principal n'est pas une syntaxe de politique valide pour restreindre l'accès de cette manière.