Bir güvenlik mühendisinin, statik bir web sitesini barındıran bir Amazon S3 bucket'ının önüne bir Amazon CloudFront dağıtımı yapılandırması gerekiyor. Erişime yalnızca belirtilen bir istemci IP adresi kümesinden izin verilmeli ve kullanıcılar içeriğe doğrudan S3 URL'leri aracılığıyla erişememelidir. Hangi çözüm bu gereksinimleri karşılar?

Bu çözüm, CloudFront OAC kullanarak S3 bucket'ına doğrudan erişimi engeller ve yalnızca CloudFront üzerinden erişime izin verir. S3 bucket policy'si, yalnızca OAC'nin bucket'a erişmesine izin verecek şekilde güncellenir. AWS WAF web ACL, belirtilen IP adreslerinden gelen isteklere izin veren bir IP set kuralı içerir ve bu ACL CloudFront dağıtımıyla ilişkilendirilerek IP kısıtlaması uygulanır. Diğer seçenekler: İlk seçenek, S3 bucket policy'sinde cloudfront.amazonaws.com'u principal olarak belirtmek, CloudFront'un S3'e erişmesine izin verir ancak belirli bir dağıtım yerine tüm CloudFront hizmetine izin verir ve doğrudan S3 URL'leri üzerinden erişimi engellemez. Ayrıca, IP kısıtlaması için S3 bucket policy'sinde aws:SourceIp kullanmak, CloudFront'un arkasındaki istemci IP'lerini değil, CloudFront'un kendi IP'lerini göreceği için işe yaramaz. Üçüncü seçenek olan güvenlik grupları, S3 bucket'ları için doğrudan kullanılamaz; S3 bucket'ları güvenlik gruplarını desteklemez. Dördüncü seçenek olan S3 access point, CloudFront dağıtımından erişimi kısıtlamaya yardımcı olabilir ancak IP kısıtlaması için yine bir WAF gereklidir ve bu çözüm, OAC'nin sağladığı güvenli entegrasyonu tam olarak sağlamaz.