Trusted Advisor oznacza politykę zasobnika S3, która zezwala na otwarty dostęp. Właściciel zasobnika wyjaśnia, że zasobnik jest używany jako źródło dla dystrybucji CloudFront. Jakie jest odpowiednie działanie, aby zapewnić, że obiekty w S3 są serwowane tylko za pośrednictwem CloudFront, a nie bezpośrednio z adresów URL S3?

Prawidłowa odpowiedź to utworzenie tożsamości dostępu do źródła CloudFront (OAI) i nadanie jej uprawnień do odczytu obiektów S3. OAI to specjalny użytkownik CloudFront, który umożliwia CloudFront pobieranie obiektów z zasobnika S3, jednocześnie uniemożliwiając użytkownikom bezpośredni dostęp do zasobnika S3. Następnie należy zaktualizować politykę zasobnika S3, aby zezwolić OAI na dostęp do zasobnika. Szyfrowanie obiektów (SSE-S3) chroni dane w spoczynku, ale nie kontroluje dostępu do nich. Dodanie użytkownika IAM dla CloudFront lub roli IAM dla CloudFront nie jest standardową ani zalecaną metodą kontrolowania dostępu do zasobników S3 z CloudFront. OAI jest specjalnie zaprojektowane do tego celu, zapewniając bezpieczny i kontrolowany dostęp.