Trusted Advisor помечает политику корзины S3, которая разрешает открытый доступ. Владелец корзины объясняет, что корзина используется в качестве источника для дистрибутива CloudFront. Какое действие является наиболее подходящим для обеспечения того, чтобы объекты в S3 обслуживались только через CloudFront, а не напрямую из URL-адресов S3?

Создание CloudFront Origin Access Identity (OAI) и предоставление ему разрешений на чтение объектов S3 является наиболее подходящим решением. OAI — это специальный пользователь CloudFront, который позволяет CloudFront получать доступ к объектам в вашей корзине S3, в то время как прямой доступ к корзине S3 блокируется. Это гарантирует, что контент будет обслуживаться исключительно через CloudFront, предотвращая прямой доступ к URL-адресам S3. Шифрование объектов (SSE-S3) защищает данные в состоянии покоя, но не контролирует доступ. Добавление пользователя IAM или роли IAM для CloudFront не является стандартной или рекомендуемой практикой для ограничения доступа к S3 через CloudFront; OAI специально разработан для этой цели.