Trusted Advisor markeert een S3 bucket policy die open toegang toestaat. De eigenaar van de bucket legt uit dat de bucket wordt gebruikt als de origin voor een CloudFront-distributie. Wat is de juiste actie om ervoor te zorgen dat objecten in S3 alleen via CloudFront worden aangeboden en niet rechtstreeks via S3 URL's?

De juiste actie is het aanmaken van een CloudFront Origin Access Identity (OAI) en deze OAI leesrechten te geven op de S3-bucket. Een OAI is een speciale CloudFront-gebruiker die CloudFront autoriseert om objecten uit een privé S3-bucket te halen. Door de S3-bucket policy aan te passen om alleen de OAI toegang te geven, wordt directe toegang tot de S3-objecten via S3 URL's geblokkeerd, terwijl CloudFront de objecten wel kan blijven serveren. Het versleutelen van objecten (optie 1) beveiligt de data, maar regelt niet de toegangscontrole via CloudFront. Het toevoegen van een IAM-gebruiker of -rol voor CloudFront (opties 3 en 4) is niet de aanbevolen methode; CloudFront gebruikt specifiek een OAI voor deze integratie.