如何撤销 Amazon S3 存储桶的公共权限

Question

我创建了一个 Amazon S3 存储桶来仅存储我网站中的图像。我拥有超过 100 万张具有公共读取权限的图像。每次我登录时，亚马逊都会给我这个警告：

"此存储桶具有公共访问权限 您已提供对此存储桶的公开访问权限。我们强烈建议您永远不要授予对您的 S3 存储桶的任何类型的公共访问权限。 "

我使用以下存储桶策略只允许在我的网站中显示图片：

{
    "Version": "2012-10-17",
    "Id": "http referer policy example",
    "Statement": [
        {
            "Sid": "Allow get requests originated from www.example.com and example.com.br",
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::examplebucket.com/*",
            "Condition": {
                "StringLike": {
                    "aws:Referer": [
                        "http://www.example.com/*",
                        "http://www.example.com.br/*",
                        "https://www.example.com/*",
                        "https://www.example.com.br/*"
                    ]
                }
            }
        }
    ]
}

如何撤消对存储桶和我的文件的公共访问权限并将其仅授予我的站点？

谢谢！

Answer 1

这是一个可怕的警告，旨在防止人们无意中泄露数据。最近新闻中有很多关于公司不小心设置权限以允许公众阅读的案例。

在您的情况下，您确实希望这些是公开可读的，因此您可以忽略警告。您的安全策略看起来不错，并且仍然符合公共托管的文档。

如果您真的不希望有人能够直接下载它们，理论上您可以将这些图像放在另一台服务器后面，然后将它们流式传输给用户。不过，这实际上并不安全。

如果您根本不想让这些公开可用，只需从您的存储桶中删除此策略即可。在这种情况下，您的网站将无法提供图片。

Answer 2

您的政策看起来不错。您提供了更高级别的安全性，然后只是通过引用标头公开，并且不允许列出对象。

使用 S3 提供 CSS、JS 和图像等常用文件就是这么简单。但是，对于所有意外的安全问题，我通常会推荐以下方法之一：

1. 为存储桶启用静态网站托管。这让未来的管理员非常清楚这个存储桶是用于公共文件的。此外，我没有看到这些存储桶的大警告消息。启用重定向请求。
2. 最好关闭所有公共访问并使用 CloudFront。启用源访问身份。您将获得 CloudFront 的所有优势、更严格的安全性等。

Using an Origin Access Identity to Restrict Access to Your Amazon S3 Content