Bir CloudFront dağıtımının tek bir Amazon S3 bucket'ı origin olarak vardır. Yönetici, bucket'taki nesnelerin yalnızca CloudFront aracılığıyla alınabilmesini, doğrudan S3 URL'leri aracılığıyla alınamamasını sağlamalıdır. Bu gereksinimi hangi yapılandırma karşılar?

Doğru cevap, bir origin access identity (OAI) oluşturmak, bunu CloudFront dağıtımına atamak ve S3 bucket politikasını yalnızca bu OAI'ye erişim izni verecek şekilde güncellemektir. OAI, CloudFront'un S3 bucket'ınızdaki nesnelere erişmesine izin veren sanal bir kimliktir. S3 bucket politikasını OAI'ye erişim izni verecek şekilde yapılandırdığınızda, kullanıcılar doğrudan S3 URL'leri aracılığıyla nesnelere erişemezler. Bunun yerine, tüm istekler CloudFront aracılığıyla yönlendirilir ve bu da içeriğinizi korur ve yalnızca CloudFront üzerinden sunulmasını sağlar. Diğer seçenekler bu gereksinimi karşılamaz: S3 Block Public Access'i etkinleştirmek ve bucket politikasını değiştirmek, CloudFront'un da erişimini engelleyebilir veya doğru şekilde yapılandırılmazsa güvenlik açıkları oluşturabilir. Origin Shield, performansı artırmak için bir önbellekleme katmanıdır, ancak doğrudan S3 erişimini engellemez. OAI'yi S3 bucket'ına eklemek ve özel bir Origin başlığı kullanmak, OAI'nin doğru kullanım şekli değildir ve güvenliği sağlamaz.