Amazon CloudFront 和 EC2：全球负载平衡

Question

我们有一个应用程序，它将在 S3 中存储和提供大量数据给全球受众，其中延迟应该最小化。因此，我们一直在使用 Amazon CloudFront 进行测试并看到了良好的结果。

但是，我们需要一个薄的中间件层（用于安全性等），我们希望将其放在 EC2 中。由于安全限制，此中间件层将从 S3/CloudFront 进行文件流传输：

S3/CloudFront -> EC2 -> 客户端

我们可以在地理上分布 EC2 节点（美国东部/西部和爱尔兰），但问题是欧盟的客户端会访问我们的美国服务器并从那里获取数据，从而使 CloudFront 的大部分性能优势变得毫无意义。我一直在挖掘 EC2 文档，但我找不到一种内置的方式来获取 EC2 的地理分布式版本，例如 CloudFront。

Elastic Load Balancing 听起来像是要走的路，但我似乎无法找到一种基于路由的方法来指导......最好，我们希望将大量内容保留在 EC2/S3/等之外。最低限度（出于显而易见的原因）。

任何想法如何在 EC2/S3 框架内做到这一点？DNS/路由技巧？

谢谢！

Answer 1

使用中间层通常会抵消分布式 CDN 的优势，因为大型中央数据中心中只有少数节点提供内容服务，而不是许多边缘缓存节点。如果您的计划确实需要首先通过服务器传输内容，那么请跳过 CloudFront 并继续使用 S3，因为您不会从中获得任何好处。

更好的方法是将“安全等”的含义形式化。看看是否可以使用 CDN 中内置的身份验证和访问控制。S3 和 Cloudfront 使用签名来对谁可以访问内容提供广泛的控制，您甚至可以创建时间有限的 URL，这些 URL 将在几小时或几分钟后过期。这些特殊的 URL 可以由您的网站创建，以便用户无法深层链接到内容或与其他人共享链接，并且通常提供足够好的安全性，仍然可以让您从边缘缓存中受益。

我不太熟悉 Amazon 文档，但 Windows Azure 也有共享访问签名的概念，它允许您委派上传或下载权限，而无需释放您的私钥。Channel 9最近有一集 Cloud Cover很好地描述了如何创建共享访问签名以及如何使用它们来保护 CDN 上的内容和委派权限。