Un'azienda ospita un server web su AWS e archivia il contenuto del sito in un bucket Amazon S3. Un ingegnere della sicurezza deve utilizzare Amazon CloudFront per accelerare la distribuzione dei contenuti e il contenuto di S3 non deve essere accessibile pubblicamente direttamente dal bucket. Quale soluzione soddisfa questi requisiti?

La soluzione corretta è creare un Origin Access Control (OAC) e associarlo alla distribuzione CloudFront, quindi configurare la policy del bucket S3 per consentire l'accesso solo dall'OAC. Questo garantisce che CloudFront possa accedere ai contenuti di S3, mentre l'accesso diretto al bucket S3 è bloccato, soddisfacendo il requisito di non accessibilità pubblica diretta. Le altre opzioni non sono ideali: Configurare le autorizzazioni sui singoli oggetti S3 è impraticabile per un gran numero di oggetti e non garantisce un accesso esclusivo a CloudFront in modo scalabile. Creare un ruolo S3 in IAM non è il meccanismo standard o più sicuro per CloudFront per accedere a S3 in modo privato. Creare una policy del bucket S3 che specifichi solo l'ID della distribuzione CloudFront come principal non è sufficiente per stabilire una connessione sicura e privata; l'OAC è il metodo moderno e consigliato per questo scopo, sostituendo l'Origin Access Identity (OAI) legacy.