Een CloudFront-distributie heeft één Amazon S3-bucket als oorsprong. De beheerder moet ervoor zorgen dat objecten in de bucket alleen via CloudFront kunnen worden opgehaald en niet via directe S3-URL's. Welke configuratie voldoet aan deze vereiste?

De correcte optie is het maken van een Origin Access Identity (OAI), deze toe te wijzen aan de CloudFront-distributie en vervolgens het S3-bucketbeleid bij te werken om alleen toegang te verlenen aan die OAI. Dit zorgt ervoor dat CloudFront namens de gebruikers toegang heeft tot de S3-bucket, terwijl directe toegang tot de S3-objecten via S3-URL's wordt geblokkeerd. De eerste optie (S3 Block Public Access inschakelen en bucketbeleid wijzigen) is onjuist omdat Block Public Access standaard alle publieke toegang blokkeert, inclusief die van CloudFront, tenzij het bucketbeleid specifiek is geconfigureerd om CloudFront-toegang toe te staan, wat complexer is dan het gebruik van een OAI. De tweede optie (Origin Shield inschakelen en aangepaste header toevoegen) is onjuist; Origin Shield is voor het optimaliseren van cache-hits en vermindert de belasting op de oorsprong, maar regelt geen toegangsbeheer. De vierde optie (OAI koppelen aan S3-bucket en aangepaste header toevoegen) is onjuist omdat een OAI niet direct aan een S3-bucket wordt gekoppeld op die manier, en het toevoegen van een aangepaste Origin-header is niet de juiste methode om OAI-autorisatie te implementeren.