某個 CloudFront distribution 的 origin 是單一 Amazon S3 儲存貯體。管理員必須確保儲存貯體中的物件只能透過 CloudFront 擷取，而不能透過直接的 S3 URL 擷取。哪種組態能達成此要求？

正確答案是建立一個 Origin Access Identity (OAI)，將其指派給 CloudFront distribution，並更新 S3 儲存貯體政策以僅授予 OAI 存取權。OAI 是一個特殊的 CloudFront 使用者，讓 CloudFront 能夠存取您的 S3 儲存貯體，同時阻止使用者直接透過 S3 URL 存取物件。這確保了所有內容都必須透過 CloudFront 邊緣網路傳遞。 啟用 S3 Block Public Access 並修改儲存貯體政策僅允許來自 CloudFront distribution 的 GetObject 是一種可行的方法，但 OAI 是更直接且推薦的 CloudFront 整合方式。Origin Shield 旨在優化性能和降低源站負載，與限制直接 S3 存取無關。將 OAI 連接到 S3 儲存貯體並在 CloudFront origin 中新增自訂 Origin 標頭是不正確的配置方式，OAI 是透過 CloudFront distribution 進行配置並更新 S3 儲存貯體政策來授予權限。