CloudFront 배포에는 단일 Amazon S3 버킷이 원본으로 있습니다. 관리자는 버킷의 객체가 CloudFront를 통해서만 검색될 수 있고, 직접 S3 URL을 통해서는 검색될 수 없도록 해야 합니다. 이 요구 사항을 충족하는 구성은 무엇입니까?

정답은 OAI(Origin Access Identity)를 생성하고, 해당 OAI를 CloudFront 배포에 할당한 다음, OAI에만 액세스 권한을 부여하도록 S3 버킷 정책을 업데이트하는 것입니다. OAI는 CloudFront가 S3 버킷의 객체에 액세스할 수 있도록 허용하는 특수한 IAM 사용자이며, S3 버킷 정책을 통해 이 OAI에만 접근 권한을 부여함으로써 사용자가 S3 URL을 통해 직접 객체에 접근하는 것을 방지하고 CloudFront를 통해서만 접근하도록 강제할 수 있습니다. 오답 설명: S3 Block Public Access를 활성화하고 버킷 정책을 변경하는 것은 S3 버킷에 대한 직접적인 공용 액세스를 차단하지만, CloudFront가 객체에 접근할 수 있는 메커니즘을 제공하지 않습니다. CloudFront 배포에서 Origin Shield를 활성화하고 사용자 지정 헤더를 추가하는 것은 캐싱 효율성을 높이는 데 사용되며, S3 버킷에 대한 직접 접근을 제한하는 보안 메커니즘이 아닙니다. OAI를 생성하여 S3 버킷에 연결하고 사용자 지정 Origin 헤더를 추가하는 것은 OAI의 올바른 사용법이 아니며, OAI는 CloudFront 배포에 할당되어야 합니다.