AWS ソリューションアーキテクトセキュリティ・IAMオリジナル・公式資料照合難易度★★★★☆
S3の通常のバケットエンドポイントをオリジンとして、画像をCloudFront経由だけで公開したい。S3への匿名アクセスは許可したくない。最も適切な構成はどれか。
A
バケットポリシーでPrincipalを*にしてs3:GetObjectを許可する
バケットを直接匿名取得でき、CloudFront経由だけという条件を満たさない。
B
CloudFront OACと配信を限定したバケットポリシーを使い、S3 Block Public Accessを維持する★ 正解
OACでCloudFrontからのアクセスを認可し、バケット側も対象配信だけを許可する構成が合う。
C
S3のWebサイトエンドポイントをOACの対象にして、バケットを公開する
S3 Webサイトエンドポイントは通常のS3オリジンと異なり、OACでは保護できない。
D
CloudFrontのDNS名を秘密にするだけでS3の公開設定を維持する
DNS名を隠すことはアクセス制御ではなく、S3直接アクセスも防げない。
解説
OACは通常のS3バケットオリジンで利用する。S3公開を防ぎ、CloudFrontのサービスプリンシパルと配信のSourceArn等をバケット側で限定する。
根拠資料・確認情報
対応範囲：SAA-C03
資料確認日：2026-10-28