amazon-web-services - CloudFront 策略仅使特定分发无效

Question

我使用 S3 存储桶来存储文件和 CloudFront 来分发它们。我有一个自动处理同步的工具，效果很好。

但是，我还希望能够以编程方式创建 CloudFront 失效。我需要在工具的策略中添加什么语句才能允许仅为此特定分发创建失效？

现在，我有这样的声明:

{
    "Effect": "Allow",
    "Action": [
        "cloudfront:CreateInvalidation"
    ],
    "Resource": "*"
}

但是，如您所见，它允许为帐户中的任何分布创建失效。

我尝试将这些值用于 Resource 属性，但由于某种原因，该工具给了我一个错误，说访问被拒绝:

arn:aws:cloudfront::12345678:distribution/ABCDEFG

arn:aws:cloudfront:::distribution/ABCDEFG

我需要在 Resource 属性中指定什么才能允许仅为特定发行版创建失效？

例如，它的 ARN 是 arn:aws:cloudfront::12345678:distribution/ABCDEFG。

Answer 1

cloudfront:CreateInvalidation命令不支持资源级权限。为此，只有 *支持。因此，不可能将用户/角色限制为只能使特定分发无效。

来源:http://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/cf-api-permissions-ref.html