标签: amazon-cloudfront

我需要使用 PHP 使用自定义策略创建签名的 CloudFront URL，但无论我做什么，显然我的策略都是“格式错误”。以下是该函数中生成的策略示例：

{"Statement":{"Resource":"https://d15xojelh58w5d.cloudfront.net/memo/kwz/cvyhkfdqn5oz0z1dz5at4z4s1jsn.kwz","Condition":{"DateLessThan":{"AWS:EpochTime":1490463203},"IpAddress":{"AWS:SourceIp":"1.2.3.4/32"}}}}

生成的网址：

https://d15xojelh58w5d.cloudfront.net/memo/kwz/cvyhkfdqn5oz0z1dz5at4z4s1jsn.kwz?Policy=eyJTdGF0ZW1lbnQiOnsiUmVzb3VyY2UiOiJodHRwczovL2QxNXhvamVsaDU4dzVkLmNsb3VkZnJvbnQubmV0L21lbW8va3d6L2N2eWhrZmRxbjVvejB6MWR6NWF0NHo0czFqc24ua3d6IiwiQ29uZGl0aW9uIjp7IkRhdGVMZXNzVGhhbiI6eyJBV1M6RXBvY2hUaW1lIjoxNDkwNDYzMjAzfSwiSXBBZGRyZXNzIjp7IkFXUzpTb3VyY2VJcCI6IjEuMi4zLjQvMzIifX19fQ__&Signature=MmBPtpipFLuNwaPliGLJajG4gJ7INwD0ptFdxPFYQP9CT-luq6W0SrAs9O9CqbJPHoukXwDzG~c88Rr5I2I9KP5QwD8MHpogGh~3SM3gBYm8ao0Zm7a5C9tWnBVRCtzuGrCrFstK-qLswWmqo6tNiOynSuFpvm9uDe3C8oWE2RzSZavEXoL35D3F8y98NeM0aOJe37EeSpdz3lrZZxei2TugoO-OmnApXa2YYJR2HiQ2l0t8paxcb3xyhCK1c1AR51uOpWLm63k~d0eNZJGo3x0Y6bx0GBqafdvV6jiUv6PbhiMC1ZcTxGnZhLmsz3~ONsEvaR1jyyOPt6y9Nos8yA__&Key-Pair-Id=APKAJ6RV6ACUX5M5IAOQ

代码：

function cloudfront_sign($url, $expiry = null, $ipLock = true) {
    $policy = array(
        'Statement' => array(
            'Resource' => $url,
            'Condition' => array(),
        ),
    );

    if(!$expiry || $expiry <= time()) $expiry = 2147483647; // CloudFront *requires* an expiry date, so set to 03:14:07 UTC on Tuesday, 19 January 2038 if one is not provided
    $policy['Statement']['Condition']['DateLessThan'] = array('AWS:EpochTime' => $expiry);
    if($ipLock) $policy['Statement']['Condition']['IpAddress'] = array('AWS:SourceIp' => $_SERVER['REMOTE_ADDR'].'/32');

    $signer = new Aws\CloudFront\UrlSigner($_config['keyID'], $_config['keyPath']);

    $jsonPolicy = json_encode($policy, …

我目前有两个 Lambda@Edge 函数：

• language-redirect：根据查看器请求调用，返回 302 或将请求传递到 CloudFront
• HSTS：在查看器响应时调用，添加响应标头

目前的流量为：

viewer request -> language-redirect

if 302 -> viewer response
if not 302 -> pass on to CloudFront -> HSTS -> viewer response

是否可以将这两个功能组合到一个函数（组合）中，每个查看器请求仅调用一次？

viewer request -> combined

if 302 -> viewer response
if not 302 -> pass on to CloudFront -> combined -> viewer response

目标是同一函数被调用一次，而不是同一函数被调用两次。

我有一个具有以下配置的 CDN (CloudFront) 发行版。（我使用签名cookie，但我不认为它是相关的）：

    DefaultCacheBehavior:
      # Target the origin
      TargetOriginId: !Sub 'S3-${ProjectName}-${Environment}'
      ViewerProtocolPolicy: redirect-to-https
      # Check always the origin (in this case S3) for the item so always the newest item is served.
      MinTTL: 0
      DefaultTTL: 0
      MaxTTL: 0
      AllowedMethods:
        - HEAD
        - GET
        - OPTIONS
      CachedMethods:
        - HEAD
        - GET
        - OPTIONS
      ForwardedValues:
        QueryString: true
        Cookies:
          Forward: all
      # Specifies the AWS account(s) that you want to allow to create signed URLs or signed cookies for private content.
      TrustedSigners: …

我正在尝试使用 CloudFormation 配置 Lambda@edge 函数。部署模板后，一切都可以在控制台中找到，但是监听origin-request事件的 lambda 函数没有被触发。奇怪的是，一个viewer-request事件确实设法触发了一个功能。

我究竟做错了什么？我怎样才能让origin-request活动发挥作用？

这是我的模板：

AWSTemplateFormatVersion: "2010-09-09"
Transform: AWS::Serverless-2016-10-31
Description: Deployment of Lambda@edge functions

Parameters:
  Stage:
    Type: String
    AllowedValues:
      - staging
      - production
    Default: staging
    Description: Stage that can be added to resource names
  CodeBucket:
    Type: String
    Description: The S3 Bucket name for latest code upload
  CodeKey:
    Type: String
    Description: The S3 Key for latest code upload

# Mappings:
#   AliasMap:
#     staging:
#       Alias: "staging-app.achrafsouk.com"
#     production:
#       Alias: …

目前，我在 cloudfront 中的应用程序仅加载了应用程序启动时的默认路由。当我cloudfront.[address].net 使用 WAF 访问站点根目录时，它可以使用我也使用 WAF 将其限制为仅我的 IP 地址，但是当我转到 cloudfront.[address].net/signup 或 /login 时，我得到

我怎样才能让子路线也起作用？我有我的存储桶策略

桶策略

{
 "Version": "2008-10-17",
 "Statement": [
     {
         "Sid": "3",
         "Effect": "Allow",
         "Principal": {
             "AWS": "arn:aws:iam::cloudfront:user/CloudFront Origin Access Identity E2SRF18SRG0FC7"
         },
         "Action": "s3:GetObject",
         "Resource": "arn:aws:s3:::[bucket]/*"
     }
 ]
}

我阻止了所有公共访问，但我也在使用带有 OAI 的 cloudfront，所以我认为我不需要担心它会被阻止，因为它正在通过 cloudfront。

我感谢任何帮助！

我想将x-frame-options作为同源添加到在S3存储桶上为我的应用程序提供服务的AWS CloudFront服务。