「CloudFront + S3」使用签名URL进行访问限制

Posted in: AWS, AWS, AWS, CloudFront, S3, 「CloudFront + S3」使用签名URL进行访问限制, 未分类

在这里使用CloudFront + S3，搭建生成签名URL的CDP(Private Cache Distribution)。以下是操作流程;

创建Amazon S3
创建CloudFront Distributions
生成签名URL

创建Amazon S3

在这里创建Amazon S3以后，把index.html文件上传到S3上。

登录AWS管理界面
点击S3
点击[创建存储桶]

点击[上传]

点击[添加文件]

点击[开始上传]

确认状态为[完成]

index.html的内容如下。

<html>
  <head>
    <title>private</title>
  </head>
  <body>
    <h1>只可以从CloudFront访问的S3!</h1>
  </body>
</html>

创建CloudFront Distribution

点击[Create Distribution]

点击[Get Started]

点击[Get Started]之后会显示具体的配置页面。

Orgin Settings

Origin Domain Name:aws.s3.amazonaws.com <- 选择刚才创建的Amazon S3
Origin Path:默认 <- CloudFront会把填写的路径添加到Origin Domain Name后面
Origin ID:S3-awsgood <- 默认
Restrict Bucket Access:Yes
Origin Access Identity:Create a New Identity
Comment:access only from CloudFront <- 注释部分，可任意填写内容
Grant Read Permissions on Bucket:Yes,Update Bucket Policy

Path Pattern:默认
Viewer Protocol Policy:HTTP and HTTPS
Allowed HTTP Methods:GET,HEAD
Object Caching:Use Origin Cache Headers
Minimum TTL:0
Forward Cookies:None
Whitelist Cookies:有效化Forward Cookies的话，只允许Whitelist的Cookie转发到原始服务器
Forward Query Strings:No <- 选择Yes的话，可缓存QueryParameter的URL
Smooth Streaming:No
Restrict Viewer Access:Yes <- 只允许签名URL访问
Trusted Signers:Self <- 选择Specify Accounts的话，其他用户的签名也将会有效化

Distribution Settings在这里使用默认配置。

配置完成之后点击[Create Distribution]

CloudFront Distributions的状态为[In Progress]。

等待10分中之后状态变为[Deployed],并且Domain Name是这次创建的CloudFront Distribution的域名。

配置完之后，查看aws桶的权限发生了变化。查看方法如下

在AWS管理控制台选择S3
选择桶以后，点击[属性]
点击[权限]
点击[编辑存储桶策略]

{
	"Version": "2008-10-17",
	"Id": "PolicyForCloudFrontPrivateContent",
	"Statement": [
		{
			"Sid": "1",
			"Effect": "Allow",
			"Principal": {
				"AWS": "arn:aws:iam::cloudfront:user/CloudFront Origin Access Identity E3L6IN8Q7KY7GE"
			},
			"Action": "s3:GetObject",
			"Resource": "arn:aws:s3:::awsgood/*"
		}
	]
}

进行以上配置以后，只允许用签名URL进行访问，直接输入URL的页面如下。

创建签名URL

为了创建签名URL，首先创建CloudFront密钥对。

点击创建CloudFront密钥对
点击[CloudFront密钥对]

点击[创建新的密钥对]

点击[下载私有密钥文件]
点击[下载公有密钥文件]
确认文件以下载之后，点击[关闭]
- 私有密钥文件：pk-密钥对ID.pem
- 公有密钥文件：rsa-密钥对ID.pem

使用AWS SDK for PHP生成签名URL。

把私有密钥上传到Amazon EC2以后，创建如下php文件。创建php文件之前需安装AWS SDK for PHP,安装方法参考 >> 安装AWS SDK for PHP

private_key:CloudFront私有密钥的路径
key_pair_id:CloudFront密钥对的ID
HostUrl:创建CloudFront的DomainName
expires:签名URL的超时时间

# cat cloudfront.php
<?php
require_once("vendor/autoload.php");
date_default_timezone_set('Asia/Chongqing');
use Aws\CloudFront\CloudFrontClient;

$client = CloudFrontClient::factory(array(
    'private_key' => '/path/to/your/cloudfront-private-key.pem',
    'key_pair_id' => 'cloudfront key pair id',
));

$HostUrl = 'CloudFront DomainName';
$resourceKey = 'index.html';
$expires = time() + 300;

$signedUrl = $client->getSignedUrl(array(
    'url'     => $HostUrl . '/' . $resourceKey,
    'expires' => $expires,
));

print $signedUrl;

执行cloudfront.php后，把生成签名URL粘帖到浏览器。

# php cloudfront.php

https://d1e2kb4c29diqv.cloudfront.net/index.html?Expires=1430200266&Signature=fAwSd3JgwY2WlP78G11QvOhT2kGNvhKnurNbctMs0rgCejl7VsCwlI0xHWsZA6pxaeqfTmUdtzfup4Cn6IvKWTQmNCsFCPiQQ4Uzyyj0vQpajFj60I1bnKbe0XopbY4~MvT13ZrHyJQNSeJTyVjLfPQvW482skLNF3SQSDufPSl2gokCxSoX83U7RGTvkVMJt8RWdgsx4sjEXo3z4KBtDoa4P9LecDYBtidH-xwzgmtFGeLyA12KdEwUVp6LdHHle3BOYOmWyqwgowDWI6T4-S2Rn4tHlrXGpqLpt5w5~h3bH-w~FDG0v6BaUJjvu2EgMJlqqdXc24w5d3oyE8tMFw__&Key-Pair-Id=APKAJEQ4CITOZRVLKRZQ

过5分钟访问的话，会出现如下页面。

也可以通过以下php代码生成限时URL。

<?php
require_once("vendor/autoload.php");
date_default_timezone_set('Asia/Chongqing');
use Aws\S3\S3Client;

$config = array(
        'key'   => 'Access Key Id',
        'secret'=> 'Secret Access Key',
);

$s3 = S3Client::factory($config);
$url = $s3->getObjectUrl("awsgood", "index.html", "1 minutes");

print $url;

参考网站

Amazon CloudFront