Uno sviluppatore ospita un sito web statico e pubblico in un bucket S3 e lo distribuisce tramite CloudFront. Il requisito è che gli utenti non debbano essere in grado di recuperare i contenuti direttamente dal bucket S3 — tutto l'accesso deve avvenire tramite la distribuzione CloudFront. Quale soluzione impone questo requisito?

La soluzione corretta è creare un CloudFront Origin Access Control (OAC) e configurare la policy del bucket S3 per concedere all'OAC l'accesso in lettura. L'OAC è il metodo consigliato per limitare l'accesso diretto ai bucket S3 da CloudFront, garantendo che solo CloudFront possa recuperare i contenuti. L'opzione di abilitare l'impostazione Block All Public Access di S3 e concedere accesso in scrittura a CloudFront è errata, in quanto CloudFront necessita solo dell'accesso in lettura e l'accesso in scrittura non è appropriato per un sito web statico. L'opzione di abilitare l'hosting di siti web statici e utilizzare l'endpoint del sito web S3 come origine CloudFront non impedisce l'accesso diretto al bucket S3. L'opzione di aggiungere un'intestazione personalizzata e utilizzare una condizione aws:RequestTag non è il meccanismo standard o sicuro per limitare l'accesso diretto a S3 tramite CloudFront.