AWS CloudFront签名URL的访问被拒绝

Question

我设置了以下信息：

• 创建了AWS S3存储桶并将一些映像上载到特定文件夹
• 创建了AWS CloudFront web发行版：
  • 来源域名：从列表中选择的S3 bucket
  • 限制存储桶访问：是
  • 来源访问标识：选定的已有标识
  • 授予桶的读取权限：是，更新桶策略

  

  AccessDenied拒绝访问

  {
      "Statement": [{
          "Resource": "XXXXXXXXXX.cloudfront.net/standard/f7cecd92-5314-4263-9147-7cca3041e69d.png",
          "Condition": {
              "DateLessThan": {
                  "AWS:EpochTime": 1555021200
              },
              "IpAddress": {
                  "AWS:SourceIp": "0.0.0.0/0"
              },
              "DateGreaterThan": {
                  "AWS:EpochTime": 1554848400
              }
          }
      }]
  }
  

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Sid": "",
              "Effect": "Allow",
              "Principal": {
                  "AWS": "arn:aws:iam::cloudfront:user/CloudFront Origin Access Identity XXXXXXXXXXXXXXX"
              },
              "Action": [
                  "s3:PutObject",
                  "s3:GetObject"
              ],
              "Resource": "arn:aws:s3:::bucket_name/*"
          },
          {
              "Sid": "",
              "Effect": "Allow",
              "Principal": {
                  "AWS": "arn:aws:iam::cloudfront:user/CloudFront Origin Access Identity XXXXXXXXXXXXXXX"
              },
              "Action": "s3:ListBucket",
              "Resource": "arn:aws:s3:::bucket_name"
          }
      ]
  }
  

Answer 1

看起来您看到的AccessDenied错误与您提到的步骤无关，它允许CloudFront使用特殊用户使用sigv4访问S3，使用上面的步骤，您将看到一个allow语句添加到bucket策略中。

如果是来自S3的错误，您将看到两个请求ID，主机和请求ID，以及拒绝访问的消息。

image.png？policy=xxxxx@signature=xxx@key-pair-id=xxxxxxx如果您看到访问被拒绝，则错误来自CloudFront签名的URL（查看器访问受限）。

要查看生成的CloudFront签名URL有什么错误，请尝试base64解码策略值，并查看资源URL/expires等是否正确。