amazon-s3 - Cloudfront 限制存储桶策略中的 IP

Question

我正在使用 AWS S3 开发一个演示网站，并使用存储桶策略(例如)限制了一定数量的 IP。

{
"Id": "S3PolicyId1",
"Statement": [
    {
        "Sid": "IPDeny",
        "Effect": "Deny",
        "Principal": {
            "AWS": "*"
        },
        "Action": "s3:*",
        "Resource": "arn:aws:s3:::my-wicked-awesome-bucket/*",
        "Condition": {
            "NotIpAddress": {
                "aws:SourceIp": "XX.XX.XX.XX/XX"
            }
        }
    }
]

这很好用。现在我想使用 CloudFront 在自定义域上通过 HTTPS 为网站提供服务。我已经创建了分配并修改了存储桶策略(以允许 CloudFront 访问)，但是当我尝试访问 CloudFront URL 时，我一直收到访问被拒绝的错误。

是否可以通过 CloudFront 继续使用存储桶策略 IP 访问列表？如果可以，我该怎么做？

Answer 1

您可以从 S3 存储桶策略中删除 IP 黑名单/白名单，并将具有所需访问规则的 AWS WAF 附加到 CloudFront 分配。

注意:当您将 S3 存储桶设为私有(private)时，请确保在 CloudFront 和 S3 中正确设置源访问身份用户。此外，如果存储桶位于与北弗吉尼亚不同的区域，则 DNS 传播可能需要一些时间。