Дистрибутив CloudFront имеет единственный бакет Amazon S3 в качестве источника (origin). Администратор должен убедиться, что объекты в бакете могут быть получены только через CloudFront, а не по прямым URL-адресам S3. Какая конфигурация соответствует этому требованию?

Правильный ответ — создание идентификатора доступа к источнику (OAI), его назначение дистрибутиву CloudFront и обновление политики бакета S3 для предоставления доступа только этому OAI. OAI действует как виртуальный пользователь, который CloudFront использует для доступа к объектам в S3. Обновление политики бакета S3 для разрешения доступа только OAI гарантирует, что объекты могут быть получены исключительно через CloudFront, блокируя прямые запросы к S3. Включение S3 Block Public Access и изменение политики бакета для разрешения GetObject только из дистрибутива CloudFront не является полным решением, так как Block Public Access может быть слишком ограничивающим, а политика бакета без OAI не обеспечивает надежной связи с CloudFront. Origin Shield предназначен для оптимизации кэширования и не решает проблему ограничения доступа. Создание OAI и прикрепление его к бакету S3 с добавлением пользовательского заголовка Origin к источнику CloudFront не является стандартным или безопасным методом для этой цели; OAI должен быть связан с дистрибутивом CloudFront, а не передаваться через пользовательский заголовок.