仅当请求中存在特定标头时才允许访问私有 S3 存储桶

Question

我在 S3 中有一个私有存储桶，并且希望只允许访问包含从 CDN（不是 CloudFront，因为这当然很容易允许使用自己的 id）发送的特定（秘密）标头的请求。

因此，这意味着编写存储桶策略以仅允许那些秘密标头请求。

我一直在做一些研究（http://docs.aws.amazon.com/AmazonS3/latest/dev/example-bucket-policies.html），我可以看到您可以测试请求的其他属性，例如aws： Referer对引用进行比较，aws :SourceIp对源 IP 进行比较 - 但我将如何对自定义标头（例如“ X-my-secret-header ”）进行比较？

存储桶策略是否支持测试标头值？如果是这样，怎么办？

Answer 1

AWS 建议使用“Referer”标头来存储令牌，然后使用 AWS 存储桶策略将请求限制为与aws:Referer该令牌匹配的标头。请注意，令牌不是实际的引用 URL，它只是您想要使用的任何秘密。

您需要确保从 CDN 到 S3 的请求是通过 HTTPS 进行的，以便对秘密令牌进行加密。

AWS 文章如何使用 CloudFront 为 Amazon S3 上托管的静态网站提供服务对此进行了描述？在“使用网站端点作为源，访问受 Referer 标头限制”部分下假设您可以将“Referer”标头从 CDN 设置为源，则应应用相同的概念。