CloudFront 策略仅验证特定分配答案

【问题标题】：CloudFront policy to invalidate only specific distrubutionCloudFront 策略仅验证特定分配
【发布时间】：2017-11-06 11:22:46
【问题描述】：

我使用 S3 存储桶来存储文件并使用 CloudFront 来分发它们。我有一个自动处理同步的工具，效果很好。

但是，我还希望能够以编程方式创建 CloudFront 失效。我需要在工具的策略中添加什么语句才能允许仅为此特定分发创建失效？

现在，我有这样的声明：

{
    "Effect": "Allow",
    "Action": [
        "cloudfront:CreateInvalidation"
    ],
    "Resource": "*"
}

但是，如您所见，它允许为帐户中的任何分配创建失效。

我尝试将这些值用于Resource 属性，但由于某种原因，该工具给了我一个错误，说访问被拒绝：

arn:aws:cloudfront::12345678:distribution/ABCDEFG
arn:aws:cloudfront:::distribution/ABCDEFG

我需要在 Resource 属性中指定什么才能允许仅为特定分发创建失效？

例如，它的 ARN 是 arn:aws:cloudfront::12345678:distribution/ABCDEFG。

【问题讨论】：

标签： amazon-web-services amazon-cloudfront amazon-iam

【解决方案1】：

cloudfront:CreateInvalidation 命令不支持资源级权限。因此，仅支持*。因此，不可能将用户/角色限制为只能使特定分发无效。

来源：http://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/cf-api-permissions-ref.html

【讨论】：

谢谢。这解释了为什么它不起作用。我一直在寻找这样的表，但无法找到或自己解释值。
这节省了几个小时。谢谢！
有同样的问题，但我仍然相信可以限制角色有权使缓存无效的分发。请查看本教程blog.zoph.me/cloud/Jekyll-Pipeline-CBCD
嗯。似乎@matt-houser 是对的。角色设置 UI 有以下警告：“您的策略中的操作不支持资源级权限，需要您选择所有资源”。我的设置中的操作是“cloudfront:CreateInvalidation”
现在不是这样了。现在实际上可以设置资源级别的权限！请参阅@GraphicalDot 下面的答案。

【解决方案2】：

现在 Clodfront 通过 IAM 策略支持分发级别权限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor1",
            "Effect": "Allow",
            "Action": [
                "cloudfront:UpdateDistribution",
                "cloudfront:DeleteDistribution",
                "cloudfront:CreateInvalidation"
            ],
            "Resource": "arn:aws:cloudfront::<account_id>:distribution/<distribution_id>"
        }
    ]
}

【讨论】：