CloudFront 배포는 OAI(Origin Access Identity)를 사용하여 프라이빗 S3 버킷에 액세스합니다. 이 버킷은 다른 모든 사용자의 액세스를 거부합니다. 앱은 사용자가 공개 로그인 페이지를 본 다음, 프라이빗 디렉터리에 액세스하기 위한 서명된 쿠키를 받도록 요구합니다. 배포는 제한된 뷰어 액세스를 S3 오리진으로 지정하는 기본 캐시 동작을 사용합니다. 로그인 페이지에 액세스하면 403 Forbidden이 반환됩니다. 개발자가 프라이빗 콘텐츠를 안전하게 유지하면서 로그인 페이지에 대한 인증되지 않은 액세스를 허용하려면 어떻게 해야 합니까?

정답은 CloudFront 캐시 동작을 사용하여 특정 경로에 대한 액세스 제한을 관리하는 것입니다. 로그인 페이지에 대한 경로 패턴을 가진 두 번째 캐시 동작을 추가하고 '뷰어 액세스'를 '제한 없음'으로 설정하면, 해당 페이지는 서명된 쿠키 없이도 접근 가능해집니다. 기본 캐시 동작은 변경하지 않고 유지하여, 다른 모든 프라이빗 콘텐츠는 기존의 '제한된 뷰어 액세스' 설정을 통해 안전하게 보호됩니다. 다른 옵션들은 다음과 같은 이유로 올바르지 않습니다. 두 번째 옵션은 기본 캐시 동작을 변경하여 로그인 페이지를 제한 없이 만들지만, 다른 모든 콘텐츠를 제한하는 새로운 동작을 추가합니다. 이는 복잡성을 증가시키고 의도치 않은 액세스 문제를 일으킬 수 있습니다. 세 번째 옵션은 장애 조치 오리진을 사용하는데, 이는 가용성을 위한 것이지 액세스 제어를 위한 것이 아닙니다. 또한, 경로 패턴 설정이 문제를 해결하지 못합니다. 네 번째 옵션은 S3 버킷 정책을 직접 수정하여 로그인 페이지에 대한 읽기 액세스를 허용하고 CloudFront 함수를 사용하여 리디렉션하는 방식입니다. 이는 CloudFront의 캐시 동작을 통한 액세스 제어보다 복잡하고, S3 버킷 정책을 직접 수정하는 것은 보안 위험을 증가시킬 수 있습니다.