Een solutions architect moet een statische website ontwerpen met Amazon CloudFront en een Amazon S3-origin. Het beveiligingsbeleid van het bedrijf vereist dat al het websiteverkeer wordt geïnspecteerd door AWS WAF. Hoe moet de solutions architect aan deze vereiste voldoen?

De juiste aanpak is om een Origin Access Identity (OAI) te gebruiken om te garanderen dat S3-content alleen via CloudFront toegankelijk is. Dit voorkomt directe toegang tot de S3-bucket. Vervolgens schakel je AWS WAF in op de CloudFront-distributie. CloudFront is een edge service die zich voor je S3-origin bevindt, waardoor WAF alle binnenkomende verzoeken kan inspecteren voordat ze de S3-bucket bereiken. Het configureren van een S3-bucketbeleid om alleen verzoeken van de AWS WAF ARN te accepteren is niet correct, omdat WAF geen directe verzoeken naar S3 stuurt; CloudFront doet dat. Het doorsturen van verzoeken naar WAF voordat content wordt opgevraagd is inherent aan het koppelen van WAF aan CloudFront. Een security group is niet van toepassing op S3-buckets, die op objectniveau toegangscontrole hebben via bucketbeleid en ACL's.