Een bedrijf host een webserver op AWS en slaat de inhoud van de site op in een Amazon S3-bucket. Een beveiligingsingenieur moet Amazon CloudFront gebruiken om de contentlevering te versnellen, en de S3-content mag niet rechtstreeks vanuit de bucket openbaar toegankelijk zijn. Welke oplossing voldoet aan deze vereisten?

De correcte optie is het aanmaken van een Origin Access Control (OAC). Een OAC is de aanbevolen en veiligste methode om CloudFront toegang te geven tot een S3-bucket, terwijl directe openbare toegang tot de bucket wordt voorkomen. Door de OAC aan de CloudFront-distributie te koppelen en het S3-bucketbeleid aan te passen om alleen toegang vanuit die OAC toe te staan, garandeert u dat de content alleen via CloudFront wordt geleverd. De andere opties zijn minder veilig of onjuist: Permissies op individuele S3-objecten configureren is omslachtig en minder schaalbaar. Een S3-rol aanmaken in IAM is niet de standaard of meest geschikte methode voor CloudFront-S3-integratie; OAC is specifiek ontworpen voor dit doel. Een S3-bucketbeleid aanmaken met alleen de CloudFront-distributie-ID als principal is onvoldoende om de toegang volledig te beveiligen en te controleren zoals een OAC dat doet.