Компания размещает веб-сервер в AWS и хранит контент сайта в бакете Amazon S3. Инженер по безопасности должен использовать Amazon CloudFront для ускорения доставки контента, при этом контент S3 не должен быть общедоступным напрямую из бакета. Какое решение соответствует этим требованиям?

Правильный ответ — создание Origin Access Control (OAC). OAC — это рекомендуемый способ ограничения доступа к бакету S3 только для CloudFront, обеспечивая при этом, что контент S3 не является общедоступным. Вы связываете OAC с дистрибутивом CloudFront, а затем настраиваете политику бакета S3, чтобы разрешить доступ только из этого OAC. Это гарантирует, что запросы к S3 могут поступать только через CloudFront. Настройка разрешений для отдельных объектов S3 непрактична и неэффективна для большого количества объектов. Создание роли S3 в IAM не является стандартным или рекомендуемым методом для этой цели, так как OAC специально разработан для интеграции CloudFront и S3. Создание политики бакета S3, указывающей только ID дистрибутива CloudFront в качестве principal, не является достаточно безопасным, так как это не гарантирует, что запросы действительно исходят от CloudFront, а не от подделанного запроса.