CloudFront 和 S3 网站托管 ip 限制存储桶策略不起作用

Question

我有一个使用 S3 和 CloudFront 的静态网站设置。 CloudFront 用于附加公司 SSL 证书，不需要缓存。一开始，我们的存储桶是完全公开的，但最近，我们正在更改网站范围，它将在内部使用。所以我需要限制除我们的公共 IP 之外的所有访问。

我正在使用存储桶策略，例如 ;

{
    "Version": "2012-10-17",
    "Id": "SourceIP",
    "Statement": [
        {
            "Sid": "SourceIP",
            "Effect": "Deny",
            "Principal": "*",
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:::bucket-name",
                "arn:aws:s3:::bucket-name/*"
            ],
            "Condition": {
                "NotIpAddress": {
                    "aws:SourceIp": [
                        "ip1/32",
                        "ip2/32",
                        "ip3/32",
                        "ip4/32"
                    ]
                },
                "IpAddress": {
                    "aws:SourceIp": "0.0.0.0/0"
                }
            }
        }
    ]
}

我做了一些研究，在同一案例中使用 WAF 可以满足这种要求。但我不太明白为什么 WAFless 设置（启用静态网站托管的 CloudFront + S3 存储桶 + 存储桶策略）不起作用。 CloudFront 将 X-Forwarded-For 标头附加到请求以保留源 IP，但是当我将我的 IP 写入存储桶策略以允许时，我收到拒绝访问。我不明白它的原因。

任何帮助或解释将不胜感激。 最好的问候。

Answer 1

在doc: Evaluation logic for conditions with multiple keys or values：

如果您的策略有多个条件运算符或多个键 附加到单个条件运算符，条件被评估 使用逻辑 AND。

在您的情况下，"NotIpAddress" 和 "IpAddress" 被评估为 AND。这就是问题所在。拆分这些或删除"IpAddress" 部分都可以。