如何使我的 S3 存储桶中的所有 URL 不可访问以供公共浏览？答案

【问题标题】：How do I make all URLs in my S3 bucket inaccessible for public browsing?如何使我的 S3 存储桶中的所有 URL 不可访问以供公共浏览？
【发布时间】：2016-07-28 19:14:22
【问题描述】：

我有一个在 RHEL 服务器上运行的聊天应用程序，它将用户之间交换的文件上传到 S3 存储桶。如何将这些文件的访问权限仅限于使用该应用程序的用户，同时还允许使用服务器的 SSH 终端和该服务器上的代码的任何人获取这些文件？

我意识到我可以限制对特定 HTTP 引荐来源网址或 IP 地址的访问，如 documentation 所示。但是，这限制了应用程序服务器或应用程序用户的访问。有没有办法可以将这两种策略结合起来？

所以底线是，除了使用应用程序的用户和托管应用程序的服务器之外，我不希望任何人访问 S3 上的这些文件。谢谢！

【问题讨论】：

标签： amazon-web-services amazon-s3

【解决方案1】：

我想通了。如果有人遇到类似问题，这里是存储桶策略 -

{
    "Version": "2012-10-17",
    "Id": "RestrictAccessPolicy",
    "Statement": [
        {
            "Sid": "IPAllow",
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:*",
            "Resource": "arn:aws:s3:::examplebucketname/*",
            "Condition": {
                "IpAddress": {
                    "aws:SourceIp": "52.12.34.56"
                }
            }
        },
        {
            "Sid": "Allow get requests referred by referrer",
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::examplebucketname/*",
            "Condition": {
                "StringLike": {
                    "aws:Referer": "http://yourwebsite.com/*"
                }
            }
        },
        {
            "Sid": "Explicit deny to ensure requests are allowed only from specific referer.",
            "Effect": "Deny",
            "Principal": "*",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::examplebucketname/*",
            "Condition": {
                "StringNotLike": {
                    "aws:Referer": "http://yourwebsite.com/*"
                }
            }
        }
    ]
}

【讨论】：