AWS Cloudfront发行版基于S3 bucket，跨帐户对象的访问被拒绝

Question

我有两个帐户(ACC-1和ACC-2)。
ACC-1承载一个API，用于处理文件上载到ACC-1的存储桶中（我们称之为Upload)。上传触发SNS转换图像或转码视频。结果文件被放入ACC-1(output)中的另一个桶中，这将再次触发SNS。然后，我将文件（作为ACC-1userAPI)复制到ACC-2(Content)中的最终存储桶。

ACC-2中的内容存储桶策略

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<ACC_1_ID>:user/api"
      },
      "Action": [
        "s3:PutObject",
        "s3:PutObjectAcl",
        "s3:GetObject"
      ],
      "Resource": "arn:aws:s3:::content/*"
    }
  ]
}

ACC-1中的API用户策略

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutObject",
        "s3:PutObjectAcl",
        "s3:GetObject",
        "s3:DeleteObject"
      ],
      "Resource": [
        "arn:aws:s3:::upload/*",
        "arn:aws:s3:::output/*",
        "arn:aws:s3:::content/*"
      ]
    }
  ]
}

我使用aws-sdk for nodejs复制文件，并将ACL设置为bucket-owner-full-control，以便ACC-2的用户可以访问Content中复制的文件，尽管ACC-1的API用户仍然是文件的所有者。

这一切都很好--文件存储在Content桶中，桶所有者和API用户可以访问这些文件。

来自contentbucket的文件对其他所有人都是私有的，应该通过Cloudfront发行版提供服务。

我为web创建了一个新的Cloudfront发行版，并使用了以下设置：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<ACC_1_ID>:user/api"
      },
      "Action": [
        "s3:PutObject",
        "s3:PutObjectAcl",
        "s3:GetObject"
      ],
      "Resource": "arn:aws:s3:::content/*"
    },
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::cloudfront:user/CloudFront Origin Access Identity <OAI_ID>"
      },
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::content/*"
    }
  ]
}

但是，当我使用Cloudfront URL时，试图从folder1文件夹中的content桶访问文件是不起作用的：

❌ https://abcdef12345.cloudfront.net/test1.jpg

返回403“拒绝访问”。

如果我将一个文件(test2.jpg)从ACC-2直接上载到content/folder1并尝试访问它，它可以工作...！？

✅ https://abcdef12345.cloudfront.net/test2.jpg

除了拥有不同的所有者之外，test1.jpg和test2.jpg似乎完全相同。

我做错了什么？

Answer 1

正如@michael-sqlbot在回答中指出的，这是预期的行为。

一种可能的解决方案是使用ACC-2帐户的凭据执行到最终存储桶的复制，因此对象的所有者将始终是ACC-2。这样做至少有两种选择：

1）使用临时凭据和AssuseRole AWS STS API：在ACC-2中创建一个IAM角色，该角色具有足够的权限执行到Content存储桶的复制(PutObject和PutObjectACL)，然后从ACC-1API调用AWS STS AssuseRole，通过假设IAM角色获取临时凭据，并使用这些临时访问密钥执行复制。这是最安全的方法。

2）使用访问密钥：您可以在ACC-2中创建IAM用户，为其生成常规访问密钥，并将这些密钥处理到ACC-1中，因此ACC-1使用这些“永久”凭据来执行复制。从安全角度来看，跨AWS帐户分发访问密钥不是一个好主意，AWS不鼓励您这样做，但这肯定是可能的。此外，从可维护性的角度来看，也可能是一个问题-因为ACC-1应该以非常安全的方式存储访问密钥，而ACC-2应该经常旋转访问密钥。