SCS-C03：AWS Certified Security - Specialty インフラストラクチャセキュリティ 問6
インフラストラクチャセキュリティ／ネットワークエッジサービスのセキュリティ制御静的コンテンツを Amazon S3 に置き、Amazon CloudFront 経由で配信しています。利用者が S3 の URL へ直接アクセスするのを防ぎ、必ず CloudFront を経由させたいと考えています。最も適切なのはどれですか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「インフラストラクチャセキュリティ」に対応。実際の試験問題ではありません）
- ACloudFront のオリジンアクセスコントロール（OAC）を設定し、S3 バケットポリシーで当該 CloudFront ディストリビューションからのアクセスのみを許可する
- BS3 バケットをパブリック読み取りにして、誰でもアクセスできるようにする
- Cセキュリティグループで S3 への直接アクセスを拒否する
- Dネットワーク ACL で S3 の URL への直接アクセスをブロックする
正解：A
解説
CloudFront のオリジンアクセスコントロール（OAC）を設定し、S3 バケットポリシーで特定の CloudFront ディストリビューションからのアクセスのみを許可すると、S3 を非公開のままにしつつ、配信を必ず CloudFront 経由に限定できます。バケットの公開は要件と正反対で、S3 はセキュリティグループやネットワーク ACL の対象ではありません。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A正しい。OAC とバケットポリシーの組み合わせで、S3 を非公開にしたまま CloudFront 経由のみに限定できます。
- B誤り。バケットの公開は直接アクセスを許してしまい、要件と正反対です。
- C誤り。Amazon S3 はセキュリティグループの対象ではなく、これでは制御できません。
- D誤り。Amazon S3 はネットワーク ACL の対象ではなく、URL 単位のブロックもできません。