为 S3 私有桶的指定目录添加 CloudFront CDN 加速

背景我们有一个 S3 桶，里面存放了多种业务数据：数据库备份、EDI 文件、前端静态资源等。桶开启了全部 Public Access Block，完全不对外公开。现在有个新需求：桶内的test/portal/和prod/portal/两个目录需要作为前端静态站点对外访问，但其他目录必须保持私有。核心诉求：只暴露指定目录，其他数据不受影响不改变 S3 的安全配置（Public Access Block 保持开启）不影响已有的 IAM Role 和服务权限方案选型方案优点缺点S3 Website Hosting简单需要关闭 Public Access Block，所有数据都有暴露风险CloudFront + OAI (旧)可行AWS 已推荐迁移到 OACCloudFront + OAC (新) ✅安全、精细控制、AWS 推荐步骤稍多选