Administrator SysOps hostuje statyczną witrynę w zasobniku Amazon S3 i chce zapewnić, że odwiedzający będą mogli dotrzeć do witryny tylko za pośrednictwem pojedynczej dystrybucji CloudFront. Użytkownicy nie mogą omijać CloudFront i uzyskiwać bezpośredniego dostępu do punktu końcowego witryny S3. Jakiej funkcji AWS powinien użyć administrator, aby wymusić ten wymóg?

Origin Access Identity (OAI) to specjalna tożsamość użytkownika CloudFront, która umożliwia CloudFront dostęp do zawartości w zasobniku S3, jednocześnie uniemożliwiając bezpośredni dostęp do tego zasobnika innym użytkownikom. Konfigurując OAI i dołączając ją do dystrybucji CloudFront, a następnie modyfikując politykę zasobnika S3, aby zezwolić na dostęp tylko z OAI, administrator wymusza, że cały ruch musi przechodzić przez CloudFront. Lista ACL zasobnika S3, która ogranicza publiczny dostęp, uniemożliwiłaby CloudFront dostęp do zasobnika, chyba że polityka zasobnika S3 zostałaby odpowiednio skonfigurowana. AWS Firewall Manager jest używany do centralnego zarządzania regułami zapory sieciowej, ale nie zapewnia natywnego mechanizmu do blokowania bezpośredniego dostępu do S3 przy jednoczesnym zezwoleniu na dostęp CloudFront. Prywatna strefa hostowana Amazon Route 53 jest używana do rozwiązywania nazw domen w prywatnych sieciach i nie ma wpływu na bezpośredni dostęp do zasobnika S3.