Firma hostuje serwer WWW w AWS i przechowuje zawartość witryny w zasobniku Amazon S3. Inżynier bezpieczeństwa musi użyć Amazon CloudFront do przyspieszenia dostarczania treści, a zawartość S3 nie może być publicznie dostępna bezpośrednio z zasobnika. Które rozwiązanie spełnia te wymagania?

Poprawna odpowiedź to utworzenie Origin Access Control (OAC), powiązanie go z dystrybucją CloudFront i skonfigurowanie polityki zasobnika S3, aby zezwalała na dostęp tylko z OAC. OAC to zalecana i bezpieczna metoda ograniczania dostępu do zasobnika S3, tak aby tylko CloudFront mógł pobierać z niego zawartość. Zapewnia to, że użytkownicy końcowi nie mogą ominąć CloudFront i uzyskać bezpośredniego dostępu do treści w S3. Pozostałe opcje są nieprawidłowe: Konfigurowanie uprawnień dla poszczególnych obiektów S3 jest nieefektywne i trudne do zarządzania na dużą skalę. Tworzenie roli S3 w IAM i zezwalanie CloudFront na jej przejęcie nie jest standardową ani zalecaną metodą kontrolowania dostępu do zasobnika S3 dla CloudFront. OAC jest przeznaczony do tego celu. Polityka zasobnika S3, która określa tylko ID dystrybucji CloudFront jako podmiot, nie jest wystarczająco bezpieczna. OAC generuje unikalny identyfikator, który jest następnie używany w polityce zasobnika, zapewniając silniejsze uwierzytelnienie.