Trusted Advisor가 개방형 액세스를 허용하는 S3 버킷 정책에 플래그를 지정합니다. 버킷 소유자는 버킷이 CloudFront 배포의 원본으로 사용된다고 설명합니다. S3의 객체가 CloudFront를 통해서만 제공되고 S3 URL에서 직접 제공되지 않도록 하려면 어떤 조치가 적절할까요?

CloudFront OAI(Origin Access Identity)를 생성하고 해당 ID에 S3 객체를 읽을 수 있는 권한을 부여하는 것이 올바른 조치입니다. OAI는 CloudFront가 S3 버킷의 콘텐츠에 액세스할 수 있도록 허용하는 특별한 IAM 사용자이며, S3 버킷 정책에서 OAI에 대한 읽기 권한을 부여하면 CloudFront를 통해서만 S3 객체에 액세스할 수 있도록 제한할 수 있습니다. 이렇게 하면 S3 버킷이 직접 공개되는 것을 방지하고 보안을 강화합니다. S3 관리형 키(SSE-S3)를 사용하여 서버 측 암호화로 S3 버킷의 객체를 암호화하는 것은 데이터 보호에 유용하지만, S3 버킷에 대한 직접 액세스를 제한하는 데는