SysOps管理者がAmazon S3バケットで静的ウェブサイトをホストしており、訪問者が単一のCloudFrontディストリビューションを介してのみサイトにアクセスできるようにしたいと考えています。ユーザーはCloudFrontをバイパスしてS3ウェブサイトエンドポイントに直接アクセスできないようにする必要があります。管理者はこの要件を強制するためにどのAWS機能を使用すべきですか？

CloudFrontディストリビューションにOrigin Access Identity (OAI) をアタッチすることで、S3バケットへの直接アクセスを防ぎ、CloudFront経由でのみコンテンツにアクセスできるように制限できます。S3バケットポリシーをOAIと連携して設定し、OAIからのアクセスのみを許可することで、このセキュリティ要件を満たします。 S3バケットACLは、バケットへのアクセスを制御しますが、CloudFront経由のアクセスを強制するものではありません。AWS Firewall Managerは、WAFルールを管理するためのサービスであり、S3への直接アクセスをブロックする直接的な機能ではありません。Amazon Route 53プライベートホストゾーンは、VPC内のリソースの名前解決に使用され、S3への直接アクセスを制限するセキュリティ機能ではありません。