솔루션스 아키텍트는 Amazon S3 오리진을 사용하는 Amazon CloudFront로 정적 웹 사이트를 설계해야 합니다. 회사 보안 정책에 따라 모든 웹 사이트 트래픽은 AWS WAF의 검사를 받아야 합니다. 솔루션스 아키텍트는 이 요구 사항을 어떻게 충족해야 할까요?

정답은 CloudFront OAI를 사용하여 S3 버킷에 대한 직접 액세스를 제한하고 CloudFront 배포에서 AWS WAF를 활성화하는 것입니다. OAI는 CloudFront를 통해서만 S3 콘텐츠에 접근하도록 보장하여 S3 버킷에 대한 직접적인 공용 액세스를 방지합니다. 이렇게 하면 모든 웹 트래픽이 CloudFront를 통과하게 되므로, CloudFront 배포에 연결된 AWS WAF가 모든 요청을 검사할 수 있습니다. 오답 설명: S3 버킷 정책으로 AWS WAF ARN에서 오는 요청만 수락하도록 구성하는 것은 WAF가 S3에 직접 요청하는 것이 아니므로 올바른 방법이 아닙니다. WAF는 CloudFront 앞에 위치합니다. 모든 수신 요청을 AWS WAF로 전달하도록 CloudFront를 구성하는 것은 WAF를 활성화하는 과정의 일부이지만, S3 버킷에 대한 직접 액세스를 제한하는 OAI 구성이 빠져있습니다. CloudFront IP 주소만 S3에 액세스할 수 있도록 보안 그룹을 구성하는 것은 S3에 직접 보안 그룹을 적용할 수 없으므로 불가능합니다. S3는 보안 그룹을 지원하지 않습니다.