Администратор SysOps размещает статический веб-сайт в бакете Amazon S3 и хочет убедиться, что посетители могут получить доступ к сайту только через одно распределение CloudFront. Пользователи не должны иметь возможность обходить CloudFront и получать прямой доступ к конечной точке веб-сайта S3. Какую функцию AWS должен использовать администратор для обеспечения этого требования?

Origin Access Identity (OAI) позволяет CloudFront получать доступ к объектам в бакете S3, не делая бакет общедоступным. При использовании OAI вы настраиваете разрешения бакета S3 так, чтобы доступ к нему имел только OAI, связанный с вашим распределением CloudFront. Это гарантирует, что пользователи не смогут обойти CloudFront и получить прямой доступ к конечной точке веб-сайта S3, поскольку бакет S3 не будет общедоступным. ACL бакета S3, ограничивающий публичный доступ, не позволит CloudFront получить доступ к бакету, если не будет настроено исключение для OAI. AWS Firewall Manager предназначен для централизованного управления правилами брандмауэра и не является основным механизмом для ограничения прямого доступа к S3 из CloudFront. Частная размещенная зона Route 53 используется для разрешения DNS внутри VPC и не влияет на прямой доступ к S3 из Интернета.