限制 S3 静态网站对 Cloudfront 的访问

Question

我知道这是一个常见问题，但我没有通过他们的解决方案获得成功。

我在 S3 上托管了两个网站：

• bucket.ca（允许*.bucket.ca）
• dev.bucket.ca（允许dev.bucket.ca）

它们可以公开访问，但我不希望任何人访问他们的 S3 网址。所以我用StringEquals编辑了存储桶策略。

每个桶一个：

arn:aws:s3:::bucket.ca/* arn:aws:s3:::dev.bucket.ca/*

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "PublicReadForGetBucketObjects",
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::dev.bucket.ca/*",
            "Condition": {
                "StringEquals": {
                    "aws:UserAgent": "random-hash"
                }
            }
        }
    ]
}

这是令人沮丧的部分。每次更改 Cloudfront 或更改存储桶时，行为都高度不一致。

dev.bucket.ca 似乎按预期工作，其 S3 url 导致访问被拒绝，我可以访问其任何子路径 dev.bucket.ca/*。所以我为bucket.ca复制了这个配置，但结果总是403。

查看dev.bucket.ca，我无法再访问它的子路径。 dev.bucket.ca/404 结果为 403。

是否有可靠的方法来测试 S3 和 Cloudfront 配置？每次编辑 Cloudfront 时，更改的更新速度都很慢。我是否应该每次都清除浏览器缓存并重新打开隐身模式以获得更可靠的结果？

Answer 1

为了调试这个问题，我恢复了政策以允许所有人公开：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "PublicReadForGetBucketObjects",
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::dev.bucket.ca/*",
        }
    ]
}

此政策完全适用于 bucket.ca 和 dev.bucket.ca。所以看起来这是我的条件问题。

"aws:UserAgent": "random-hash"

事实证明，自定义标头需要是 User-Agent 而不是 UserAgent。所以 Cloudfront 应该使用 User-Agent 作为其自定义标头和 S3 策略以使用 UserAgent。

我在部署 Cloudfront 后对此进行了测试，两个网站都正常运行。 S3 存储桶也无法访问，这很好。

---

工作方针：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "PublicReadForGetBucketObjects",
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::dev.bucket.ca/*",
            "Condition": {
                "StringEquals": {
                    "aws:UserAgent": "RandomHash"
                }
            }
        }
    ]
}

使用以下云端设置：

Header Name: User-Agent

Value: MatchingRandomHash