Un architetto di soluzioni deve progettare un sito web statico utilizzando Amazon CloudFront con un'origine Amazon S3. La policy di sicurezza dell'azienda richiede che tutto il traffico del sito web sia ispezionato da AWS WAF. Come dovrebbe l'architetto di soluzioni soddisfare questo requisito?

La risposta corretta è configurare Amazon CloudFront e Amazon S3 per utilizzare un'identità di accesso all'origine (OAI) per limitare l'accesso al bucket S3 e abilitare AWS WAF sulla distribuzione. L'OAI garantisce che solo CloudFront possa accedere al bucket S3, impedendo l'accesso diretto e non autorizzato. Abilitare AWS WAF sulla distribuzione CloudFront è il metodo standard per ispezionare tutto il traffico web che passa attraverso CloudFront, soddisfacendo il requisito di sicurezza. Le altre opzioni sono errate perché: Configurare una policy del bucket S3 per accettare richieste solo dall'ARN di AWS WAF non è un meccanismo valido per S3, né WAF inoltra direttamente le richieste a S3 in questo modo. Configurare CloudFront per inoltrare le richieste ad AWS WAF prima di S3 è intrinseco all'abilitazione di WAF su una distribuzione CloudFront; non è una configurazione separata, e non affronta il blocco dell'accesso diretto a S3. Configurare un gruppo di sicurezza che consenta solo agli indirizzi IP di CloudFront di accedere a S3 non è applicabile, poiché S3 è un servizio di archiviazione oggetti e non utilizza gruppi di sicurezza come le istanze EC2.