Amazon CloudFront 與 S3 --> 按域限制訪問？

Question

在 Amazon S3 上，您可以按域限制對存儲桶的訪問。

但據我從一個有用的 StackOverflow 用戶那里了解到，您不能在 CloudFront 上執行此操作。 但為什么？ 如果我是對的，CloudFront 只允許基於時間的限制或 IP 限制（--> 所以我需要知道隨機訪問者的 IP ..？）或者我錯過了什么？

以下是 S3 文檔中的一段話，表明每個域的限制是可能的：

--->“要允許從您的網站對這些對象進行讀取訪問，您可以添加一個存儲桶策略，該策略允許 s3:GetObject 具有條件，使用 aws:referer 鍵，獲取請求必須源自特定網頁。”

--> 有沒有辦法讓這個方法也適用於 CloudFront？ 或者為什么像這樣的東西在 CloudFront 上不可用？

--> 是否有類似的服務可以實現，更容易設置？

Answer 1

將 CloudFront 與 WAF（Web 應用程序防火牆）結合使用，您可以根據 IP 地址、引用者或域限制請求。

這是關於限制“盜鏈”的 AWS 博客教程。

https://blogs.aws.amazon.com/security/post/Tx2CSKIBS7EP1I5/How-to-Prevent-Hotlinking-by-Using-AWS-WAF-Amazon-CloudFront-and-Referer-Checkin

在此示例中，它禁止Referrer:標頭與特定域不匹配的請求。