Bir şirket, dosyaları bir Amazon S3 bucket'ında depolayan ve bunları bir Amazon CloudFront dağıtımı aracılığıyla sunan bir dosya paylaşım uygulaması geliştiriyor. Şirket, kullanıcıların dosyalara doğrudan S3 URL'si üzerinden erişmesini istemiyor. Bir çözümler mimarı bu gereksinimleri karşılamak için ne yapmalıdır?

Doğru cevap, bir Origin Access Identity (OAI) oluşturmak, bunu CloudFront dağıtımına atamak ve S3 bucket izinlerini yalnızca OAI'nin okuma iznine sahip olacak şekilde yapılandırmaktır. Bu yöntem, kullanıcıların doğrudan S3 URL'si üzerinden dosyalara erişmesini engellerken, CloudFront'un S3'ten içerik almasına güvenli bir şekilde izin verir. Diğer seçenekler neden yanlış: Yalnızca CloudFront'a okuma izni vermek için her bir S3 bucket'ı için ayrı ayrı politikalar yazmak, CloudFront'un S3'e erişimini sağlar ancak doğrudan S3 erişimini engellemez. Bir IAM kullanıcısı oluşturup bunu CloudFront'a atamak, CloudFront'un S3'e erişmesi için uygun bir yöntem değildir ve CloudFront dağıtımları için tasarlanmamıştır. CloudFront dağıtım kimliğini Principal olarak ayarlayan bir S3 bucket politikası yazmak, OAI'nin sağladığı özel ve güvenli erişim mekanizmasını kullanmaz ve daha az güvenlidir.