Архитектор решений должен спроектировать статический веб-сайт с использованием Amazon CloudFront с источником Amazon S3. Политика безопасности компании требует, чтобы весь трафик веб-сайта проверялся с помощью AWS WAF. Как архитектор решений должен выполнить это требование?

Правильный ответ — настроить Amazon CloudFront и Amazon S3 для использования Origin Access Identity (OAI) для ограничения доступа к корзине S3 и включить AWS WAF для дистрибутива. OAI позволяет CloudFront получать доступ к содержимому корзины S3, предотвращая прямой доступ из Интернета. Это обеспечивает безопасность источника. AWS WAF интегрируется непосредственно с CloudFront, позволяя проверять весь трафик до того, как он достигнет S3, что соответствует требованию безопасности. Неправильные варианты: Настройка политики корзины S3 для приема запросов только от ARN AWS WAF невозможна, так как WAF не является источником запросов к S3. CloudFront не пересылает запросы в WAF перед запросом контента из S3; WAF работает как часть дистрибутива CloudFront, проверяя запросы, поступающие в CloudFront. Настройка группы безопасности, разрешающей IP-адресам CloudFront доступ к S3, не является лучшей практикой для статического веб-сайта на S3, поскольку S3 является объектным хранилищем без прямого использования групп безопасности для контроля доступа к объектам. Кроме того, это не решает проблему ограничения прямого доступа к S3.