如何使用CDK将S3的访问权限授予Cloudfront？

【以下的问题经过翻译处理】 我在CDK中对于如何在S3存储桶上设置仅限CloudFront的权限感到困惑。我已经创建了该存储桶，并设置publicReadAccess: false，现在正尝试授予类似以下的CloudFormation权限：

import * as s3 from "aws-cdk-lib/aws-s3"; import * as cf from "aws-cdk-lib/aws-cloudfront"; import * as iam from "aws-cdk-lib/aws-iam";

export function grantCloudFrontAccessToBucket(stack: cdk.Stack, cfInstance: cf.CloudFrontWebDistribution, bucket: s3.Bucket) { const bucketObjects = ${bucket.bucketArn}:*; const cfArn =arn:aws:cloudfront::${stack.account}:distribution/${cfInstance.distributionId};

const policy = new iam.PolicyStatement({
        actions: ["s3:GetObject"],
        resources: [bucketObjects],
        principals: [
            new iam.ServicePrincipal('cloudfront.amazonaws.com')
        ],
        conditions: [
            {
                "StringEquals": {
                    "AWS:SourceArn": cfArn
                }
            }
        ]
    });

bucket.addToResourcePolicy(policy);

}

它报错说是无效的条件类型，但我认为StringEquals应该没问题的，我唯一能想到的就是我构建了错误的ARN？

更新：我找到了这篇文章，它解释了如何使用OIN来实现我之前尝试的操作。但是，控制台的帮助似乎暗示OAC更好。您能否在CDK中以类似的方式使用OAC呢？