Un amministratore SysOps ospita un sito web statico in un bucket Amazon S3 e vuole assicurarsi che i visitatori possano raggiungere il sito solo tramite una singola distribuzione CloudFront. Gli utenti non devono essere in grado di bypassare CloudFront e accedere direttamente all'endpoint del sito web S3. Quale funzionalità AWS dovrebbe utilizzare l'amministratore per imporre questo requisito?

Una Origin Access Identity (OAI) di CloudFront è la soluzione corretta perché consente a CloudFront di accedere ai contenuti del bucket S3, impedendo al contempo l'accesso diretto al bucket da parte di altri utenti. Quando un'OAI è associata a una distribuzione CloudFront, è possibile configurare le policy del bucket S3 per consentire l'accesso solo all'OAI, bloccando così qualsiasi richiesta diretta all'endpoint S3. Le ACL del bucket S3 che limitano l'accesso pubblico non sono sufficienti, poiché si limiterebbero a bloccare tutti gli accessi pubblici, inclusi quelli di CloudFront, a meno che non vengano configurate eccezioni complesse e meno sicure. AWS Firewall Manager è uno strumento di gestione centralizzata per i firewall, ma non è il meccanismo primario per limitare l'accesso diretto a un bucket S3 da parte di CloudFront. Una zona ospitata privata di Amazon Route 53 è per la risoluzione DNS all'interno di una VPC e non influisce sull'accesso pubblico a un bucket S3.