Architekt rozwiązań musi zaprojektować statyczną witrynę internetową, używając Amazon CloudFront z originem Amazon S3. Polityka bezpieczeństwa firmy wymaga, aby cały ruch witryny był sprawdzany przez AWS WAF. Jak architekt rozwiązań powinien spełnić to wymaganie?

Prawidłowa odpowiedź to skonfigurowanie Amazon CloudFront i Amazon S3 tak, aby używały tożsamości dostępu do originu (OAI) w celu ograniczenia dostępu do bucketu S3, a następnie włączenie AWS WAF w dystrybucji CloudFront. OAI zapewnia, że tylko CloudFront może uzyskać dostęp do zawartości S3, co jest kluczowe dla bezpieczeństwa. AWS WAF jest usługą brzegową, którą integruje się bezpośrednio z dystrybucją CloudFront, aby filtrować ruch przed dotarciem do S3, spełniając wymaganie bezpieczeństwa. Pozostałe opcje są nieprawidłowe: Polityka bucketu S3 nie może akceptować żądań na podstawie ARN AWS WAF, ponieważ WAF działa na poziomie CloudFront, a nie bezpośrednio na S3. CloudFront nie przekazuje żądań do WAF przed żądaniem treści z S3; WAF jest integralną częścią dystrybucji CloudFront i filtruje ruch na brzegu sieci. Grupy bezpieczeństwa nie mają zastosowania do bucketów S3, które są usługą obiektową, a nie instancją EC2.