CloudFront ディストリビューションは、単一の Amazon S3 バケットをオリジンとしています。管理者は、バケット内のオブジェクトが、直接 S3 URL 経由ではなく、CloudFront 経由でのみ取得されるようにする必要があります。この要件を満たす設定はどれですか？

この設定は、S3バケットへの直接アクセスを防ぎ、CloudFront経由でのみコンテンツが取得されるようにする最も安全で一般的な方法です。OAIはCloudFrontディストリビューションに代わってS3バケットへのアクセスを許可する特別なIAMエンティティとして機能します。S3バケットポリシーを更新してこのOAIのみにGetObject権限を付与することで、S3の直接URLからのアクセスは拒否され、CloudFrontからのアクセスのみが許可されます。 S3 Block Public Accessを有効にするだけでは、CloudFrontからのアクセスもブロックされる可能性があり、バケットポリシーの変更も複雑になる可能性があります。Origin Shieldはパフォーマンス向上機能であり、アクセス制御には直接関係ありません。カスタムヘッダーを追加する方法は、アクセス制御の主要なメカニズムとしては不十分です。