amazon-web-services - 带有签名 URL : 403 Access Denied 的 AWS CloudFront

Question

我正在使用用于存储媒体文件的 Amazon S3 Bucket 和用于受限分发目的的 Amazon CloudFront 配置环境。

对这些媒体文件的访问必须是私有(private)的，并且应该通过 签名的 URL 完成。所以我在 South America (São Paulo) 区域创建了 S3 Bucket 并上传了一些测试文件。然后我创建了一个 CloudFront Distribution ，之前的 存储桶 作为 Origin 并且它的 Bucket Access 是 受限的 。我创建了一个新的 OAI (原始访问身份)并选择了选项 Yes, Update Bucket Policy 以便它自动配置 S3 Bucket Policies。
我只使用 默认 Behavior 并配置了 HTTP and HTTPS 查看器协议(protocol)策略 和 GET, HEAD 允许的方法 。 Restrict Viewer Access (Use Signed URLs or Signed Cookies) 已设置，而 Trusted Signer 已设置为 Self 。

这里有一些图片来说明设置:

S3 存储桶策略


分布的来源


分发行为


我在尝试访问使用 awscli 或 cfsign.pl 生成的签名 URL 时收到 HTTP 403

<Error>
    <Code>AccessDenied</Code>
    <Message>Access denied</Message>
</Error>

有什么我不知道的东西丢失了吗？看起来我做了 文档 所说的一切。

Answer 1

我收到了相同的Access Denied错误并花了最后几个小时试图弄清楚发生了什么。我终于意识到 Expires参数是在过去设置的，因为我使用的是本地时间而不是 UTC。确保设置 Expires future 根据UTC。