amazon-s3 - 仅当请求中存在特定 header 时才允许访问私有(private) S3 存储桶

Question

我在 S3 中有一个私有(private)存储桶，并且只允许访问包含特定( secret ) header 的请求，这些 header 是从 CDN(不是 CloudFront，因为允许使用它自己的 ID 当然很简单).

因此，这意味着编写一个存储桶策略以仅允许那些 secret header 请求。

我一直在做一些研究 (http://docs.aws.amazon.com/AmazonS3/latest/dev/example-bucket-policies.html)，我发现您可以测试请求的其他属性，例如 aws:Referer 以对引用者进行比较，并且 aws:SourceIp 对源 IP 进行比较 - 但我将如何对自定义 header 进行比较，例如“X-my-secret-header”？

存储桶策略是否支持测试 header 值？如果是，怎么办？

Answer 1

AWS 建议使用“Referer” header 存储 token ，然后使用 AWS Bucket Policy 将请求限制为与 token 匹配的 aws:Referer header 。请注意， token 不是实际的引用 URL，它只是您要使用的任何 secret 。

您需要确保从 CDN 到 S3 的请求是通过 HTTPS 进行的，以便 secret token 被加密。

AWS 文章 How do I use CloudFront to serve a static website hosted on Amazon S3? 对此进行了描述在“使用网站端点作为来源，访问受 Referer header 限制”部分下假设您可以将 CDN 中的“Referer” header 设置为来源，则应适用相同的概念。