使用C#的Cloudfront签名URL

Question

我已经尝试了很多事情，我承认失败了（我在这里读了很多回应，但到目前为止没有一个对我有帮助）。我正在尝试为CloudFont上保存的文件设置签名URL。我可以为S3创建签名的URL，但我不能为CloudFront工作。对于cloudfront，我使用AWS SDK中的以下内容：

var url = AmazonCloudFrontUrlSigner.GetCannedSignedURL(    AmazonCloudFrontUrlSigner.Protocol.http, "cdn.coffeebreakgrooves.com", privateKey, 
file, cloudFrontKeyPairID, DateTime.Now.AddDays(2));

我得到一个签名的URL生成，但我得到访问拒绝时，跟随链接，当我读到它建议我设置起源访问标识。因此，我转到我的分发设置和设置来源访问标识，并选择：

• 限制桶访问：是
• 来源访问标识：使用现有标识
• 授予读取权限：是，更新Bucket策略

然后，所有文件在Cloudfront上都可以公开使用，而不管我在S3中对ACL有什么设置（因此，即使File.txt对S3中的任何人都没有权限，它也可以通过Cloudfront访问），我也无法判断签名的URL是否有效，因为下载可以使用或不使用querystring，文件也可以公开使用。从本质上讲，我如何使我的文件私有，但可以通过签名的URL下载（以及我的签名方法是否正确？）。如果删除生成的桶策略，访问将再次受到限制。我想我需要知道如何设置bucket策略，以便原始访问标识只能访问带有签名URL的bucket...也许吧。

非常感谢您的帮助！

Answer 1

经过一段时间的Rest和重新思考，这里是我出错的地方。在同一发行版中，不可能有一些内容被保护而其他内容不被保护。整个发行版是否安全。以下是我的解决方案。

1. 在AWS中为您的安全项设置新的bucket
2. 在Cloudfront中添加指向1中创建的新bucket的新发行版，并为“限制查看器访问”选择是，为“转发查询字符串”选择“是”（这只是为了添加向特定下载添加内容处理的功能），为“受信任的签名者”选择“self”
3. 在AWS的顶部单击您的名称，然后选择“安全凭据”，然后选择“继续”，就像我们在上面选择“自我”一样。
4. 单击“CloudFront密钥对”并选择“创建新密钥对”。下载密钥文件时，提供（他们将不会再次提供），您需要私钥。还可以根据需要复制访问密钥ID。
5. 转到您的发行版，单击安全发行版旁边的i，单击来源选项卡，单击“创建来源”或选择来源并选择编辑，然后选择“是”限制桶访问，创建新标识，是更新桶策略。这实际上意味着Cloudfront可以根据您的bucket进行身份验证。
6. 在您的项目中，转到NuGet并搜索'AWS'，然后安装AWS SDK。
7. 将私钥文件(pk***.pem)复制到网站根目录上方的文件夹（或某个相对私人的地方）
8. 按照以下步骤添加一些代码，以生成一个具有内容处理头的安全URL。

我不得不说，如果没有Torsten在https://forums.aws.amazon.com/thread.jspa上的帖子的帮助，我不可能解决这个问题？messageID=421768是PHP中的，但它为我指明了正确的方向：

string cloudFrontKeyPairID = "myaccesskeyidfrompoint4";
string pathtokey = HttpContext.Current.Request.MapPath("~/").Replace("wwwroot", "ssl") + "pk-mykeyidfilenamesavedin4.pem";
FileInfo privateKey = new FileInfo(pathtokey);
string file = "folder/mytrack.mp3?response-content-disposition=" + 
HttpContext.Current.Server.UrlEncode("attachment;filename='a_filename_with_no_spaces.mp3'"); 
//I can't figure out how to do spaces or odd characters.

url =   AmazonCloudFrontUrlSigner.GetCannedSignedURL(
    AmazonCloudFrontUrlSigner.Protocol.http, 
    "customcname.mydomain.com", 
    privateKey, 
    file, 
    cloudFrontKeyPairID, 
    DateTime.Now.AddDays(2));

我希望这能帮助别人，我会把这作为个人资源无论如何！在没有设置“限制查看器访问”的现有bucket上启用原始访问标识，它实质上打开了bucket上所有项目的权限。这可能是可取的，也可能是不可取的！如果我有什么问题请告诉我，这对我来说都是很新的。