托管在 EC2 上的网站无法访问 S3 图像链接

Question

我已将 Fulls3Access 角色分配给 EC2。 EC2 上的网站能够上传和删除 S3 对象，但访问 s3 资产 url 被拒绝（这意味着我无法读取图像）。我已启用阻止公共访问设置。我想让一些文件夹保密，只有网站可以访问这些文件夹。我尝试在存储桶策略上设置诸如 sourceIp 和referer url 之类的公共读取条件，但以下不起作用，网站上的图像仍然不显示。任何人都有想法来启用和限制仅对网站的读取 s3 存储桶访问？

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "PublicRead",
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": [
                "arn:aws:s3:::bucketname/assets/*",            ]
        },
        {
            "Sid": "AllowIP",
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": [
                "arn:aws:s3:::bucketname/private/*",
            ],
            "Condition": {
                "IpAddress": {
                    "aws:SourceIp": [
                        "ip1/32",
                        "ip2/32",                    ]
                }
            }
        }
    ]
}

Answer 1

如果您尝试通过 EC2 主机上的应用程序在用户浏览器中提供这些资产，那么来源将不是 EC2 服务器，而是用户浏览器。

如果您想限制资产，可以采取一些选项，同时允许用户在浏览器中查看它们。

第一个选项是使用AWS SDK 到generate a presigned URL。这将创建一个临时链接，该链接将在一定时间后过期，这将需要在需要资产时生成，这对于不经常访问的敏感信息非常有效。

第二个选项是在 S3 存储桶前添加 CloudFront distribution，并使用 signed cookie。这将要求您的代码生成一个 cookie，然后将其包含在对 CloudFront 分配的所有请求中。它允许与签名 URL 相同的行为，但只需要生成一次，用户就可以访问所有内容。

如果所有资产只能从您的网站访问，但不被视为敏感资产，您还可以考虑将 WAF 添加到 S3 存储桶前面的 CloudFront 分配中。这将配置一个规则，仅允许“Referer”标头与您的域匹配的位置。这仍然可以通过在请求中设置该标头的人绕过，但会导致更少的爬虫访问您的资产。

How to Prevent Hotlinking by Using AWS WAF, Amazon CloudFront, and Referer Checking 文档中提供了更多信息。