通过查询字符串通过Route53 A记录访问私有内容到s3存储桶

Question

我正在尝试使用具有指定生存时间的查询字符串来限制对S3存储桶中存储的文件资源的访问，（如此处所述， http：//birkoff.net/blog/amazon-s3-query-string-authentication-using -php / ）到我的存储桶的别名。 例如在Route53我有类型别名A记录，securefiles.mysite.com指向S3别名securefiles.mysite.com.s3-website-ap-southeast-2.amazonaws.com。

这对于使用标准S3地址寻址的文件非常有效： securefiles.mysite.com.s3-ap-southeast-2.amazonaws.com/privateresource.png？biglongquerystring或securefiles.mysite.com.s3.amazonaws.com /privateresource.png?biglongquerystring，但是当我尝试使用较短的securefiles.mysite.com/privateresource.png?biglongquerystring链接时，它失败并显示403，访问被拒绝消息。

为了调查起见，我编辑了存储桶策略以允许所有用户访问所有存储桶资源

{
"Version": "2008-10-17",
"Statement": [
    {
        "Sid": "PublicReadGetObject",
        "Effect": "Allow",
        "Principal": {
            "AWS": "*"
        },
        "Action": "s3:GetObject",
        "Resource": "arn:aws:s3:::securefiles.mysite.com/*"
    }
]

}

现在，查询字符串适用于较短的地址，但由于所有用户现在都可以访问，因此不再安全。

我也尝试过“不启用网站托管”到我的存储桶，这对于完整的S3地址， securefiles.mysite.com.s3.amazonaws.com / privateresource.png？biglongquerystring仍然可以正常工作，但是在寻址时失败，出现404 NoSuchWebsiteConfiguration较短的securefiles.mysite.com/privateresource.png?biglongquerystring

关于如何安全地将Route53 A记录中的S3存储桶中的文件寻址到我的S3存储桶别名的任何想法？

Answer 1

我执行了以下任务：

• 在Amazon S3中创建了一个名为images.my-domain.com的存储桶
• 将文件上传到存储桶
• 在Amazon Route 53中创建了一个记录集（一条记录，Alias =是，Alias Target = s3-website-ap-southeast-2.amazonaws.com - s3-website-ap-southeast-2.amazonaws.com - s3-website-ap-southeast-2.amazonaws.com - s3-website-ap-southeast-2.amazonaws.com - s3-website-ap-southeast-2.amazonaws.com是的，我也在悉尼）

测试1-直接访问：单击Amazon S3中的对象链接（ s3-ap-southeast-2.amazonaws.com/images.my-domain.com/picture.jpg ）返回AccessDenied与预期的一样，因为对宾语。

测试2-直接预签名URL：在S3中使用对象上的预签名URL （通过BucketExplorer创建）（使用常规S3 URL）成功提供了对该对象的访问权限。 这是预料之中的。

测试3-别名访问：访问Amazon S3中的对象链接，但将其更改为直接使用域名（ images.my-domain.com/picture.jpg ）返回了AccessDenied 。

测试4-使用预签名URL的别名访问：通过带有预签名URL的静态网站URL访问失败 。 这与您遇到的问题是一致的。

因此，我同意在静态S3网站上似乎无法使用预签名URL和Route 53别名。

然后，我使用Amazon S3静态网站URL对其进行了进一步测试：

Tst 5-具有预签名URL的S3静态网站URL：此测试尝试通过静态网站URL访问私人文件（ images.my-domain.com.s3-website-ap-southeast-2.amazonaws.com/picture.jpg ）和签名。 这也返回AccessDenied 。

因此，问题似乎与Route 53 URL无关。 而是，预签名URL似乎无法通过静态网站URL起作用。 由于Route 53使用静态URL，因此也会失败。