Bir SysOps yöneticisi, statik bir web sitesini bir Amazon S3 bucket'ında barındırıyor ve ziyaretçilerin siteye yalnızca tek bir CloudFront dağıtımı aracılığıyla ulaşabilmesini sağlamak istiyor. Kullanıcılar CloudFront'u atlayarak doğrudan S3 web sitesi uç noktasına erişememelidir. Yönetici bu gereksinimi uygulamak için hangi AWS özelliğini kullanmalıdır?

Bir CloudFront dağıtımına eklenmiş bir Origin Access Identity (OAI), Amazon S3 bucket'ınızın içeriğine doğrudan erişimi kısıtlamanın ve kullanıcıların içeriğe yalnızca CloudFront üzerinden erişmesini sağlamanın en iyi yoludur. OAI, CloudFront'un S3 bucket'ınızdan nesneleri almasına izin veren özel bir sanal kimliktir. Daha sonra S3 bucket politikalarınızı, yalnızca bu OAI'nin bucket'a erişmesine izin verecek şekilde yapılandırabilirsiniz. Bu, CloudFront'u atlayarak S3 web sitesi uç noktasına doğrudan erişmeye çalışan herkesin erişim reddi hatası alacağı anlamına gelir. Genel erişimi kısıtlayan bir S3 bucket ACL'si, S3 bucket'ına genel erişimi tamamen engelleyebilir, ancak CloudFront'un içeriğe erişmesini de engeller. AWS Firewall Manager, doğrudan S3 erişimini engellemek için kullanılabilir, ancak bu senaryo için OAI'den daha karmaşık ve dolaylı bir çözümdür. Bucket'ı işaret eden bir Amazon Route 53 özel barındırılan bölge, yalnızca DNS çözümlemesini yönetir ve S3 bucket'ına doğrudan erişimi kısıtlamaz.