Cloudfront 如何分发 AWS KMS 密钥以获取静态加密的 S3 图像？

Question

我想使用AWS 的服务器端加密 (SSE)和AWS 密钥管理服务 (KMS)来加密 S3 中的静态数据。 （请参阅此AWS 博客文章，详细介绍 SSE-KMS。）

但是，我也有使用 Cloudfront 预签名 URL 的要求。

如何设置 Cloudfront 分配以使用 AWS KMS 中的密钥来解密和使用静态加密的 S3 对象？

（这个 Boto3 问题似乎来自与我寻找相同答案的人，但没有结果）。

Answer 1

这在以前是不可能的，因为 CloudFront 不支持它并且因为（正如我在对 John 的回答的评论中提到的那样——这是在正确的轨道上）没有办法使用 Lambda@Edge 推出自己的解决方案，因为X-Amz-Cf-Id请求标头——在 CloudFront 的背面生成，仅对 S3 可见，对触发器调用不可见——将使您尝试添加到 Lambda@Edge 触发器内的请求的任何签名无效，因为签名所有X-Amz-*标头都是强制性的。

但是X-Amz-Cf-Id标头值现在在event.Records[0].cf.config.requestId 。

有了这个值，您可以在 Lambda@Edge 环境中使用执行角色凭证和内置 SDK 来生成签名并添加必要的标头（包括带有派生凭证标识符和新生成的签名的Authorization标头) 请求。

此设置不使用源访问标识符 (OAI)，因为使用 Lambda@Edge 触发器的 IAM 执行角色而不是 OAI 来说服 S3 请求已获得授权。

Achraf Souk 发布了一篇官方 AWS 博客文章，从头到尾解释了该解决方案。

https://aws.amazon.com/blogs/networking-and-content-delivery/serving-sse-kms-encrypted-content-from-s3-using-cloudfront/

Answer 2

使用 S3 预签名 URL。 这篇 AWS 文章讨论了如何使用 Java 生成 url，但这很容易移植到另一种语言。

使用 AWS Key Management Service (SSE-KMS) 的服务器端加密

Answer 3

以下设置适用于我们：

在您的应用程序中，生成 Cloudfront 可以验证的签名 URL ( https://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/private-content-signed-urls.html )。

您可以按照以下方式创建 Lambda@Edge 源请求函数，而不是使用 OAI： https ://aws.amazon.com/blogs/networking-and-content-delivery/serving-sse-kms-encrypted-content-from-s3 -使用-cloudfront/

请注意，如果您的存储桶包含“.” （我们这样做了），JS 代码中有一个错误，可以通过以下方式缓解：

// Infer the region from the host header
// const region = options.host.split('.')[2];

const hostArr = options.host.split('.');
const region = hostArr [hostArr.length - 3];

最后，我们添加了一个原始响应 Lambda@Edge 来清除我们不想暴露的标头。 特别是包含 AWS 账户 ID 的 X-Amz-Server-Side-Encryption-Aws-Kms-Key-Id。

最后，我想评论一下上述声明/评论，即 Lamda@Edge 响应主体限制为 1 MB，这仅适用于 lambda 函数生成（或如果包含主体则修改）的内容。 当使用上面的 Lambda@Edge 函数时，来自 S3 源的响应没有这样的限制，我们正在服务对象 >> 1MB（通常为 100+ MB）。