Una distribuzione CloudFront ha un singolo bucket Amazon S3 come origine. L'amministratore deve assicurarsi che gli oggetti nel bucket possano essere recuperati solo tramite CloudFront e non tramite URL S3 diretti. Quale configurazione soddisfa questo requisito?

La creazione di un'identità di accesso all'origine (OAI) e la sua assegnazione alla distribuzione CloudFront, seguita dall'aggiornamento della policy del bucket S3 per concedere l'accesso solo a tale OAI, è la configurazione corretta. Questo garantisce che CloudFront possa accedere agli oggetti, mentre gli URL S3 diretti non possono, poiché non sono autorizzati dall'OAI. Le altre opzioni sono errate perché: Abilitare S3 Block Public Access e modificare la policy del bucket per consentire GetObject solo da CloudFront non è sufficiente. Block Public Access potrebbe impedire l'accesso pubblico, ma la policy del bucket dovrebbe comunque fare riferimento a un'entità specifica come un OAI per un controllo granulare. Abilitare Origin Shield e aggiungere un'intestazione personalizzata OriginShield non controlla l'accesso diretto al bucket S3; Origin Shield è una funzionalità di caching per ridurre il carico sull'origine. Creare un OAI e allegarlo al bucket S3, quindi aggiungere un'intestazione Origin personalizzata, non è il meccanismo corretto per collegare l'OAI a CloudFront e autorizzare l'accesso. L'OAI deve essere associato alla distribuzione CloudFront e quindi referenziato nella policy del bucket.