{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "1",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::cloudfront:user/CloudFront Origin Access Identity XXX"
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::<S3 バケット名>/*"
        }
    ]
}

静的ウェブサイトホスティングを無効にした場合にも、バケットポリーから以下の前半部分を削除しましょう。
上記前半のポリシー（Sid: PublicReadForGetBucketObjects）は、静的ウェブサイトホスティングで S3 バケットのリソースをパブリックへ公開するためのポリシーです

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "PublicReadForGetBucketObjects",
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::<S3 バケット名>/*"
        },
        {
            "Sid": "1",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::cloudfront:user/CloudFront Origin Access Identity XXX"
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::<S3 バケット名>/*"
        }
    ]
}

• ブロックパブリックアクセスをオンにした S3 バケットに CloudFront 経由でアクセスできなくなった時の対処方法 | DevelopersIO

Amazon CloudFrontで、エッジでキャッシュ

• CloudFrontの設定手順
• CloudFrontでCORS設定
• Amazon CloudFront関連のページ一覧
• CloudFrontのログ保存
• Amazon CloudFrontで、S3を利用する場合の注意点