限制对AWS上S3存储桶的访问

Question

我将文件存储在S3存储桶中。 我想限制对文件的访问。

当前，具有该文件URL的任何人都可以访问该文件。

我想要一种仅当通过我的应用程序访问文件时才访问文件的行为。 该应用程序托管在EC2上。

以下是我可以找到的2种可能方式。

1. 在存储桶策略中使用“引荐来源网址”键。

2. 在CORS配置中更改“允许的来源”

鉴于可以在请求标头中欺骗“引荐”，因此应使用上面2个中的哪个。

Cloudfront还能在这里发挥作用吗？

Answer 1

在处理私有S3存储桶时，您将需要使用适合您的用例的AWS开发工具包。

这里包含多种语言的SDK： http : //aws.amazon.com/tools/

在每个SDK中，您都可以找到对S3的示例调用。

如果您尝试通过浏览器端JavaScript进行私人呼叫，则可以使用CORS 。

Answer 2

我建议使用允许访问存储在Amazon S3上的私有对象的预签名URL 。 这是一种确保对象安全的方法，但可以授予对特定对象的临时访问权限。

它是根据对象路径，到期时间和属于有权访问Amazon S3对象的账户的共享秘密访问密钥通过哈希计算创建的。 结果是一个限时URL，该URL授予对该对象的访问权限 。 一旦到期时间过去，URL不会返回该对象。

首先，删除授予这些对象访问权限的现有权限。 然后，生成预签名URL，以基于每个对象授予对私有内容的访问权限，这是在您每次引用S3对象时计算得出的。 （不用担心，这样做很快！）

请参阅文档： Java示例代码