Een ontwikkelaar host een statische, openbare website in een S3-bucket en levert deze via CloudFront. De vereiste is dat gebruikers geen content rechtstreeks uit de S3-bucket mogen ophalen — alle toegang moet via de CloudFront-distributie verlopen. Welke oplossing dwingt deze vereiste af?

De correcte oplossing is het aanmaken van een CloudFront Origin Access Control (OAC). OAC is de aanbevolen methode om CloudFront toegang te geven tot een S3-bucket, terwijl directe toegang tot de bucket wordt geblokkeerd. U configureert de CloudFront-distributie om de OAC te gebruiken en werkt vervolgens het S3-bucketbeleid bij om de OAC leestoegang te verlenen. Dit zorgt ervoor dat alle verzoeken via CloudFront lopen. Het inschakelen van "Block All Public Access" en CloudFront schrijftoegang verlenen is onjuist; CloudFront heeft leestoegang nodig en "Block All Public Access" zou de toegang van CloudFront blokkeren tenzij een OAC is geconfigureerd. Statische websitehosting inschakelen en het S3-website-eindpunt gebruiken, staat directe toegang tot de S3-bucket toe, wat in strijd is met de vereiste. Het toevoegen van een aangepaste header en het gebruik van aws:RequestTag is geen standaard of veilige methode om directe S3-toegang te beperken voor CloudFront-integratie.