Een SysOps-beheerder host een statische website in een Amazon S3-bucket en wil ervoor zorgen dat bezoekers de site alleen kunnen bereiken via één CloudFront-distributie. Gebruikers mogen CloudFront niet kunnen omzeilen en de S3-website-endpoint niet rechtstreeks kunnen benaderen. Welke AWS-functie moet de beheerder gebruiken om aan die vereiste te voldoen?

Een Origin Access Identity (OAI) is de juiste keuze omdat het een speciale CloudFront-gebruiker creëert die toegang heeft tot de S3-bucket. Door de S3-bucket policy zo te configureren dat alleen deze OAI toegang heeft, wordt directe toegang tot de S3-website-endpoint geblokkeerd. Gebruikers kunnen de website dan alleen bereiken via de CloudFront-distributie, wat voldoet aan de vereiste. Een S3-bucket-ACL die openbare toegang beperkt, is onvoldoende omdat het nog steeds niet garandeert dat toegang alleen via CloudFront verloopt; het zou alleen directe openbare toegang blokkeren, maar niet de mogelijkheid om de S3-endpoint te omzeilen als deze op een andere manier toegankelijk is. AWS Firewall Manager is primair voor het beheren van WAF-regels en niet voor het direct beperken van S3-toegang op deze manier. Een Amazon Route 53 private hosted zone is voor interne DNS-resolutie en heeft geen invloed op de toegangscontrole van een S3-bucket.