WAF→CroudFront→S3のルートにしたい場合、どこにWAFを適用する？

→AWS WAFをCloudFrontのディストリビューションに適用する

選択肢：Amazon CloudFrontのIPアドレスにAmazon S3へのアクセスのみを許可するセキュリティグループを設定します。AWS WAFをCloudFrontに関連付けます

この選択肢が正しくない理由は以下の通りです。

Amazon S3はセキュリティグループをサポートしていません。

したがって、CloudFrontのIPアドレスに対してS3へのアクセスを制御するセキュリティグループを設定することは不可能です。

一方、正解の選択肢では、オリジンアクセスアイデンティティ（OAI）を使用してS3バケットへのアクセスを制限するとあり、これが適切な方法です。