Разработчик размещает статический публичный веб-сайт в бакете S3 и доставляет его через CloudFront. Требование состоит в том, что пользователи не должны иметь возможность получать контент непосредственно из бакета S3 — весь доступ должен осуществляться через дистрибутив CloudFront. Какое решение обеспечивает это требование?

Правильный ответ — создание CloudFront Origin Access Control (OAC). OAC позволяет CloudFront безопасно получать доступ к содержимому бакета S3, при этом бакет остается закрытым для прямого доступа из Интернета. Вы настраиваете источник дистрибутива CloudFront для использования OAC, а затем обновляете политику бакета S3, чтобы предоставить OAC разрешение на чтение. Это гарантирует, что весь трафик проходит через CloudFront, предотвращая прямой доступ к S3. Включение Block All Public Access и предоставление CloudFront доступа на запись неверно, так как CloudFront нужен доступ на чтение, а не на запись, и это не решает проблему прямого доступа к S3. Включение хостинга статического веб-сайта S3 и использование конечной точки веб-сайта S3 в качестве источника CloudFront фактически делает бакет общедоступным, что противоречит требованию. Добавление пользовательского заголовка и использование aws:RequestTag не является стандартным или безопасным способом ограничения доступа к бакету S3 только через CloudFront.