A Cloudfront não suporta o cabeçalho do referenciador, por isso você não pode fazer isso diretamente. No entanto, uma abordagem para lidar com o hotlinking é gerar URLs assinados que expiram após pouco tempo. Essencialmente, com uma página dinâmica, você torna todo o conteúdo do Cloudfront privado e, em seguida, usa um URL assinado para incorporar a imagem na sua página. O URL assinado concede acesso ao conteúdo - por um curto período de tempo ou para um endereço IP específico. Isso essencialmente torna o hotlink impraticável - já que alguém precisaria constantemente vasculhar seu site para obter os URLs novos e válidos. Claro, isso tem implicações no armazenamento em cache. Você pode, alternativamente, ter o URL válido por pouco mais de um dia e gerar o URL diariamente, em vez de carregar cada página.