Origin訪問身份和CloudFront簽名的Url之間的關係

Question

因此，我一直在關注CloudFront和S3上的指南，我覺得我仍然缺少Origin Access身份和CloudFront簽名URL之間關係中的核心信息。

我想要什麼：一個私有CDN主持音頻片段（幾秒鐘的長度）和低分辨率的圖像。我只希望這些文件在來自特定域（Web應用程序所在的域）以及可能是測試服務器的請求時可訪問。所以，我的web應用程序可以獲取文件，但只是人不能沒有通過web應用程序會訪問它們

什麼IM困惑：我模糊的關係（如果有的話）CloudFront的起源訪問身份之間和簽署CloudFront網址。

我目前已經爲我的cloudfront發佈創建了一個私有S3，一個OAI，並且已經通過cloudfront爲圖片生成了一個鏈接的url。但我不明白這些事情是如何相關的，以及他們如何阻止其他人訪問CDN文件（如果他們能夠執行檢查並獲取簽名的URL）。

是否要確保簽名url快到期？如果是的話，OAI如何在其中發揮作用？這是否在CORS中設置？

Answer 1

添加指向您的CloudFront域的新CNAME條目。此條目應與CloudFront控制檯中的「備用域名」中輸入的條目匹配。

默認情況下CloudFront的自動生成域名（例如d3i29vunzqzxrt.cloudfront.net），但你可以定義你選擇的域名。你

也可以保證的Cloudfront Serving Private Content through CloudFront

Answer 2

的原點了接入身份是內CloudFront的一個實體 可通過桶政策被授權訪問區中的物件。當CloudFront使用源訪問標識訪問存儲區中的內容時，CloudFront將使用OAI的憑據生成簽名請求，以便將其發送到存儲區以獲取內容。查看者無法訪問此簽名。

這裏使用的單詞「origin」的含義不應該與在其他上下文中使用的詞「origin」混淆，例如CORS，其中「origin」是指允許訪問內容的網站。

原始訪問標識與訪問被限制爲包含特定Origin或Referer標頭的請求無關。

一旦CloudFront驗證簽名URL爲匹配與您的AWS賬戶（或您指定爲可信簽署人的另一賬戶）相關聯的CloudFront簽名密鑰，則該對象將從存儲桶中獲取，並使用來源訪問身份已經被授予。

是否要確保簽名url快到期？

基本上，是的。

通過嘗試基於發現鏈接的站點限制訪問的身份驗證和授權請求是而不是可行的安全措施。它可以防止來自其他站點的熱鏈接，但不會防止任何人僞造請求標頭。擊敗這樣的措施是微不足道的。

相比之下，簽名的URL對計算不可行性極其篡改。

簽名的URL不僅僅在到期之前纔有效，還可以選擇性地限制訪問策略文檔中包含的具有相同IP地址的人員，如果使用custom policy。一旦簽名，對URL的任何更改（包括策略聲明）都會使整個URL無法使用。

OAI僅與CloudFront簽署的URL間接連接 - 它們可以單獨使用或一起使用 - 但是如果沒有OAI，CloudFront無法證明它有權從您的存儲桶請求對象，因此存儲桶將需要公開，這將打破CloudFront上簽名URL的許多目的。