如何使S3对象只能从某些IP地址读取？

Question

我正在尝试将Cloudflare设置为缓存来自S3的图像。我想在做这件事时尽可能地限制（最不宽容）。我假设我需要接受Cloudflare的请求来读取我的S3图像。我希望所有其他请求都被拒绝。

我遵循了这个指南：https://support.cloudflare.com/hc/en-us/articles/360037983412-Configuring-an-Amazon-Web-Services-static-site-to-use-Cloudflare

我没有在我的bucket上启用静态网站托管，因为这对于我的案例来说是不必要的。

在存储桶权限中，我关闭了“阻止所有公共访问”，并暂时关闭了“阻止对通过新的公共存储桶或访问点策略授予的存储桶和对象的公共访问”。我需要这样做，以便添加一个桶策略。

在上面的链接中，我添加了一个bucket策略，如下所示：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "PublicReadGetObject",
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::www.example.com/*",
            "Condition": {
                "IpAddress": {
                    "aws:SourceIp": [
                        <CLOUDFLARE_IP_0>,
                        <CLOUDFLARE_IP_1>,
                        <CLOUDFLARE_IP_2>,
                        ...
                    ]
                }
            }
        }
    ]
}

此时，AWS控制台中出现一条消息，说明：

“此存储桶具有公共访问权限您已提供对此存储桶的公共访问权限。我们强烈建议您永远不要授予对S3存储桶的任何类型的公共访问权限。”

然后，我打开了“阻止对通过新的公共存储桶或访问点策略授予的存储桶和对象的公共访问”，并关闭了“阻止通过任何公共存储桶或访问点策略对存储桶和对象的公共和跨帐户访问”。

在这一点上，S3映像请求行为似乎正在按预期工作，但我不确定我是否将所有内容设置为最小许可，特别是考虑到AWS控制台中的警告消息。

根据我的描述，我是否在这个bucket中正确设置了只接受来自Cloudflare的读取请求并拒绝所有其他请求？我希望确保来自Cloudflare以外的任何来源的请求都将被拒绝。

Answer 1

听起来不错！如果它可以从CloudFlare工作，但不能从其他地方工作，那么它满足您的需求。

那些阻止公众进入的警告是故意吓人的，目的是让人们在向世界开放自己的桶之前三思而后行。

您的策略仅限于GetObject，并且仅限于有限的IP地址范围。