AWS 上的 OAI 与 IAM “用户”有什么区别？

Question

我一直在使用 AWS Cloudfront，这个问题出现在我面前：“AWS 上的 OAI 与 IAM ‘用户’有什么区别”？我在这里真正想问的是：“为什么需要 OAI 存在，为什么不能使用 IAM 来代替？”

我确信一定存在一些重大差异和原因，但是在尝试调试问题时，拥有两种不同类型的“用户”确实让我感到困惑：即从 Cloudfront 自动更新 S3 存储桶策略意味着 OAI ID 是放入策略中，我将其与 Cloudfront ID 混淆了，因为它们看起来非常相似！

Answer 1

CloudFront 源访问身份 (OAI) 不是 IAM 用户，也不能用作 IAM 用户。OAI 只是一个可以分配给 CloudFront 发行版的身份，用于识别对 S3 源的请求。然后，S3 原始存储桶可以在存储桶策略中使用 OAI，以仅允许来自具有该特定 OAI 的 CloudFront 分配的请求。

无法为 OAI 分配任何其他角色、策略或权限，并且无法将 IAM 用户分配给 CloudFront 分配。OAI 存在的唯一原因是为了提高 CloudFront 发行版 S3 源的安全性。

有关 OAI 的更多信息，请访问：使用源访问身份 (OAI) 限制对 Amazon S3 内容的访问 - Amazon CloudFront