Компания разрабатывает приложение для обмена файлами, которое хранит файлы в бакете Amazon S3 и предоставляет к ним доступ через дистрибутив Amazon CloudFront. Компания не хочет, чтобы пользователи получали доступ к файлам напрямую через URL-адрес S3. Что должен сделать архитектор решений для выполнения этих требований?

Правильный ответ — создание Origin Access Identity (OAI), назначение его дистрибутиву CloudFront и настройка разрешений бакета S3. OAI — это специальный пользователь CloudFront, который позволяет CloudFront получать доступ к объектам в вашем бакете S3, в то время как прямой доступ к S3 остается закрытым для всех остальных. Это обеспечивает безопасность, гарантируя, что пользователи могут получать доступ к файлам только через CloudFront. Написание отдельных политик для каждого бакета S3 или создание пользователя IAM и назначение его CloudFront не обеспечивают такой же уровень контроля и безопасности, как OAI, и могут быть сложнее в управлении. Установка ID дистрибутива CloudFront в качестве Principal в политике бакета S3 не является стандартным или рекомендуемым способом предоставления доступа CloudFront к закрытым бакетам S3.