Batasi akses ke asal Amazon S3

CloudFront menyediakan dua cara untuk mengirim permintaan yang diautentikasi ke sumber Amazon S3: kontrol akses asal (OAC) dan identitas akses asal (OAI). OAC membantu Anda mengamankan asal Anda, seperti Amazon S3.

Se baiknya gunakan OAC sebagai gantinya karena mendukung fitur-fitur berikut:

OAI tidak mendukung fitur-fitur ini atau memerlukan solusi tambahan dalam skenario tersebut. Jika Anda sudah menggunakan OAI dan ingin bermigrasi, lihatBermigrasi dari identitas akses asal (OAI) ke kontrol akses asal (OAC).

Topik berikut menjelaskan cara menggunakan OAC dengan asal Amazon S3.

Topik

Buat kontrol akses asal baru

Selesaikan langkah-langkah yang dijelaskan dalam topik berikut untuk mengatur kontrol akses asal baru di CloudFront.

Prasyarat

Sebelum membuat dan mengatur kontrol akses asal (OAC), Anda harus memiliki CloudFront distribusi dengan sumber bucket Amazon S3. Origin ini harus berupa bucket S3 biasa, bukan bucket yang dikonfigurasi sebagai titik akhir situs web. Untuk informasi selengkapnya tentang menyiapkan CloudFront distribusi dengan asal bucket S3, lihatMemulai dengan distribusi CloudFront standar.

Ber CloudFront ikan izin untuk mengakses bucket S3

Sebelum Anda membuat kontrol akses asal (OAC) atau mengaturnya dalam CloudFront distribusi, pastikan bahwa kontrol tersebut CloudFront memiliki izin untuk mengakses sumber bucket S3. Lakukan ini setelah membuat CloudFront distribusi, tetapi sebelum menambahkan OAC ke asal S3 dalam konfigurasi distribusi.

Gunakan kebijakan bucket S3 untuk mengiz CloudFront inkan service principal (cloudfront.amazonaws.com) mengakses bucket. Gunakan Condition elemen dalam kebijakan CloudFront untuk mengizinkan akses bucket hanya jika permintaan tersebut atas nama CloudFront distribusi yang berisi asal S3. Ini adalah distribusi dengan asal S3 yang ingin Anda tambahkan OAC.

Untuk informasi tentang menambahkan atau memodifikasi kebijakan bucket, lihat Men ambahkan kebijakan bucket menggunakan konsol Amazon S3 di Panduan Pengguna Amazon S3.

Berikut ini adalah contoh kebijakan bucket S3 yang memungkinkan CloudFront distribusi dengan akses yang diaktifkan OAC ke asal S3.

SSE-KMS

Jika objek di asal bucket S3 dienkripsi menggunakan en kripsi sisi server dengan AWS Key Management Service (SSE-KMS), Anda harus memastikan bahwa CloudFront distribusi memiliki izin untuk menggunakan kunci. AWS KMS Untuk memberikan izin CloudFront distribusi untuk menggunakan kunci KMS, tambahkan pernyataan ke kebijakan kunci KMS. Untuk informasi tentang cara mengubah kebijakan kunci, lihat Meng ubah kebijakan kunci di Panduan Peng AWS Key Management Service embang.

{
    "Sid": "AllowCloudFrontServicePrincipalSSE-KMS",
    "Effect": "Allow",
    "Principal": {
        "Service": [
            "cloudfront.amazonaws.com"
        ]
     },
    "Action": [
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:GenerateDataKey*"
    ],
    "Resource": "*",
    "Condition": {
            "StringEquals": {
                "AWS:SourceArn": "arn:aws:cloudfront::111122223333:distribution/<CloudFront distribution ID>"
            }
        }
}

Buat kontrol akses asal

Untuk membuat kontrol akses asal (OAC), Anda dapat menggunakan Konsol Manajemen AWS, CloudFormation, AWS CLI, atau CloudFront API.

Hapus distribusi dengan OAC yang terpasang ke bucket S3

Jika Anda perlu menghapus distribusi dengan OAC yang terpasang ke bucket S3, Anda harus menghapus distribusi sebelum menghapus asal bucket S3. Atau, sertakan Wilayah dalam nama domain asal. Jika ini tidak memungkinkan, Anda dapat menghapus OAC dari distribusi dengan beralih ke publik sebelum dihapus. Untuk informasi selengkapnya, lihat Menghapus sebuah distribusi.

Bermigrasi dari identitas akses asal (OAI) ke kontrol akses asal (OAC)

Untuk bermigrasi dari identitas akses asal warisan (OAI) ke kontrol akses asal (OAC), pertama-tama perbarui asal bucket S3 untuk memungkinkan OAI dan distribusi dengan OAC diaktifkan mengakses konten bucket. Ini memastikan bahwa CloudFront tidak pernah kehilangan akses ke bucket selama transisi. Untuk mengizinkan OAI dan distribusi dengan OAC diaktifkan mengakses bucket S3, perbarui kebijakan bucket untuk menyertakan dua pernyataan, satu untuk setiap jenis prinsipal.

Contoh kebijakan bucket S3 berikut memungkinkan OAI dan distribusi dengan OAC diaktifkan untuk mengakses asal S3.

Setelah memperbarui kebijakan bucket S3 origin untuk mengizinkan akses ke OAI dan OAC, Anda dapat memperbarui konfigurasi distribusi untuk menggunakan OAC alih-alih OAI. Untuk informasi selengkapnya, lihat Buat kontrol akses asal baru.

Setelah distribusi sepenuhnya diterapkan, Anda dapat menghapus pernyataan dalam kebijakan bucket yang memungkinkan akses ke OAI. Untuk informasi selengkapnya, lihat Ber CloudFront ikan izin untuk mengakses bucket S3.

Pengaturan lanjutan untuk kontrol akses asal

Fitur kontrol akses CloudFront asal mencakup pengaturan lanjutan yang dimaksudkan hanya untuk kasus penggunaan tertentu. Gunakan pengaturan yang disarankan kecuali Anda memiliki kebutuhan khusus untuk pengaturan lanjutan.

Kontrol akses asal berisi pengaturan bernama Perilaku penandatanganan (di konsol), atau SigningBehavior (di API, CLI, dan CloudFormation). Pengaturan ini menyediakan opsi berikut:

Gunakan identitas akses asal (lama, tidak disarankan)

"Principal": {
    "AWS": "arn:aws:iam::cloudfront:user/CloudFront Origin Access Identity <origin access identity ID>"
}