S3のバケットの画像をCloudFrontで配信している。オブジェクトはSSE-KMS（カスタマー管理キー）で暗号化されている。利用者がS3のURLに直接アクセスすることを防ぎたい。
最も適切なものを1つ選択してください。
出典AWS非公式・オリジナル問題
ア
OAI（オリジンアクセスアイデンティティ）を設定し、KMSの設定は変えない
イ
OACを設定し、バケットとキーのポリシーで許可する
ウ
S3の静的ウェブサイトのエンドポイントをオリジンにして、Refererで制限する
エ
バケットをパブリックにして、オブジェクトのキーを推測されにくい名前にする