開発者が静的パブリックウェブサイトをS3バケットでホストし、CloudFront経由で配信しています。ユーザーがS3バケットから直接コンテンツを取得できないようにする必要があり、すべてのアクセスはCloudFrontディストリビューションを介して行われる必要があります。この要件を満たすソリューションはどれですか？

CloudFront OAC (Origin Access Control) は、CloudFrontのみがS3バケットにアクセスできるようにするための推奨される方法です。OACを作成し、それをCloudFrontディストリビューションのオリジンに関連付け、S3バケットポリシーを更新してOACに読み取りアクセスを許可することで、ユーザーがS3バケットに直接アクセスするのを防ぎ、すべてのトラフィックがCloudFrontを経由するように強制できます。 「すべてのパブリックアクセスをブロック」を有効にしても、CloudFrontからのアクセスは許可されますが、書き込みアクセスは不要であり、セキュリティ上のリスクとなります。静的ウェブサイトホスティングを有効にすると、S3バケットが直接パブリックアクセス可能になるため、要件に反します。カスタムヘッダーはセキュリティを強化できますが、OACほど堅牢なアクセス制御メカニズムではありません。