亚马逊云前线。可信签名者的使用

Question

我们正在使用 cloudfront 来提供 s3 资源并且它受到限制。在 c# 中，在使用“AmazonCloudFrontUrlSigner.SignUrlCanned”创建预签名 url 时，它只要求使用根凭证生成的 cloudfront 私钥，而不要求 IAM 用户凭证。

在分发行为中，我可以看到有一个选项可以指定“受信任的签名者”，但无法理解它的使用位置。任何有关这方面的信息都会很棒。还有一种方法可以使用 IAM 用户凭证生成预先签名的 Cloudfront url 吗？

Answer 1

CloudFront 不支持使用 IAM 凭证生成签名 URL，也不支持使用其他 AWS 服务通用的签名算法。

但是，该过程已被完整记录。CloudFront 有自己的方法来代表您的用户访问 S3 中的私有对象 - 源访问身份 - 并且在提供签名 URL 或签名 cookie 时将透明地使用此机制，使用与受信任签名者关联的密钥对生成。

有关机制和配置演练的说明，请参阅通过 CloudFront 提供私有内容。