ある企業が、ファイルをAmazon S3バケットに保存し、Amazon CloudFrontディストリビューションを介して提供するファイル共有アプリケーションを構築しています。この企業は、ユーザーがS3 URLを介してファイルに直接アクセスすることを望んでいません。ソリューションアーキテクトは、これらの要件を満たすために何をすべきですか？

この要件を満たすには、オリジンアクセスアイデンティティ (OAI) を作成し、それをCloudFrontディストリビューションに関連付け、S3バケットポリシーでそのOAIにのみ読み取り権限を付与することが最適です。これにより、CloudFront経由でのみS3オブジェクトにアクセスできるようになり、S3 URLによる直接アクセスが防止されます。 各S3バケットに個別のポリシーを作成しCloudFrontに読み取り権限を付与するだけでは、S3 URLからの直接アクセスを完全に防ぐことはできません。IAMユーザーを作成しCloudFrontに割り当てる方法は、CloudFrontがS3にアクセスするための一般的な方法ではありません。CloudFrontディストリビューションIDをPrincipalとして設定するS3バケットポリシーは、OAIを使用するよりも複雑で管理が難しい場合があります。