具有 HTTPS 和仅限 VPN 访问的 AWS S3 静态站点

Question

目前我们有一个静态站点部署到 ECS（弹性容器服务）并由 ELB（弹性负载均衡器）作为前端。这个模型实际上没有意义，因为容器只是运行 NGINX 来提供静态资产。

但是，我们从这个模型中得到的是对网站的仅 VPN 访问（我们的 VPN 客户端将所有 10.x 流量转发到我们的 VPC），以及 ELB 上的 HTTPS 侦听器，这两者都是我们想保留。

将目前只能通过 VPN 访问的静态站点迁移到通过 HTTPS 从 S3/Cloudfront 提供服务并且只能通过 VPN 访问的最佳方式是什么？

We have the same VPN configuration as in this answer. 这个答案对我们有用，但它没有解决 S3 存储桶 IP 可能发生变化的问题（这会使 VPN 客户端上的建议路由规则无效），我不清楚如何让 HTTPS 使用它（AFAIK，您需要将 CF 放在 S3 静态站点的前面，但我不确定如何通过我们的 VPN 将流量路由到 Cloudfront。）

Answer 1

我决定使用VPC endpoints 来控制入口。有一个内部负载均衡器（私有子网）只能通过 VPC/VPN 访问，它将流量路由到 VPC 端点。

存储桶策略看起来像（Terraform 模板）

{
  "Version": "2012-10-17",
  "Id": "Policy1415115909152",
  "Statement": [
    {
      "Sid": "deny-get-if-not-from-vpce",
      "Action": [
        "s3:GetObject"
      ],
      "Effect": "Deny",
      "Resource": [
        "arn:aws:s3:::${bucket}",
        "arn:aws:s3:::${bucket}/*"
      ],
      "Condition": {
        "StringNotEquals": {
          "aws:sourceVpce": "${vpce_id}"
        }
      },
      "Principal": "*"
    },
    {
      "Sid": "allow-get-if-from-vpce",
      "Action": [
        "s3:GetObject"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:s3:::${bucket}",
        "arn:aws:s3:::${bucket}/*"
      ],
      "Condition": {
        "StringEquals": {
          "aws:sourceVpce": "${vpce_id}"
        }
      },
      "Principal": "*"
    }
  ]
}

而且它有效！我们获得了 SSL 连接，并且负载均衡器在 VPN 之外进行零访问（负载均衡器 DNS 无法解析，并且 S3 静态站点本身出现 403）。

见http://docs.aws.amazon.com/AmazonS3/latest/dev/example-bucket-policies-vpc-endpoint.html。