AWS S3 Bucket 权限管理

背景

众所周知 AWS 的产品都非常的复杂与抽象, 如果没有系统性的认知, 自行摸索 S3 的权限管理是非常消耗精力与时间的. 所以这里记录一下 S3 的权限管理模式与开启公开访问权限的基本路径.

正文

0x1 创建 Bucket

所有的权限配置从这里开始, 第一步不能错.

当我们新建一个Bucket时, 将Bucket的名称添加为之后可能的域名映射可以避免复杂的配置, 如 s3.example.com:

0x2 配置 ACL 所有权

ACL 控制指其他的AWS账户是否能够写入此 Bucket, 一般来说我们的 Bucket 都是私有的, 所以不应该开启这个选项:

0x3 配置公共访问设置

开启公开访问的权限是必须的, 它是所有Bucket资源可通过链接外部访问的必要条件, 所以我们需要关闭 阻止所有公开访问 的限制并开启公开访问权限. 最后还须要勾选风险提示才能成功创建 Bucket, 如图:

这一步完成之后直接点击创建存储桶即可.

0x4 配置已创建的Bucket的权限策略

创建好的Bucket可以在 Amazon S3 > 存储桶 中访问, 我们点击创建好的 Bucket 进入详情页然后点击权限进入配置页:

然后点击存储桶策略的编辑按钮进入编辑策略的状态:

将以下内容粘贴至编辑器中, 这段策略的意思为 允许所有人访问 s3.example.com / 路径下的所有资源*:

json 复制代码

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::s3.example.com/*"
        }
    ]
}

Resource 字段可以直接复制上方的存储桶 ARN:

保存策略后即可通过资源链接直接访问, 可以进入对象页上传图片/文件进行测试.

0x5 获取 Bucket 资源 URL 配置 Cloudflare

上传一个文件后即可通过该文件的链接获取 URL:

一般来说, s3.example.com 这种域名(或者说非法 URI Path) Bucket 的资源 URL 都是由该 AWS S3 Bucket 的区域资源名称 + s3.example.com + 资源名称即 https://s3.{AWS Region ID}.amazonaws.com/{domain}/{object name}, 如下图的 s3.ap-southeast-1.amazonaws.com/s3.example.... 就符合这个条件.

如果不符合该url 那么后续的步骤可能会失败, 需要使用 CloudFront 服务实现

拿到URL后在用这个 hostname 配置 CNAME(s3.ap-southeast-1.amazonaws.com) 至 Cloudflare 的 DNS 配置即可, 如图:

这样就可以通过 https://s3.example.com/{object name} 来访问资源了.

0x6 使用 AWS CloudFront CDN 配置 Cloudflare

如果你的 Bucket 已经创建或者最终获得的 URL 不符合 https://s3.{AWS Region ID}.amazonaws.com/{domain}/{object name} 的模式就需要通过 CloudFront 来实现自定义域名的访问了 (这里特指非 AWS 的外部 DNS 域名服务商).

在创建 CloudFront 配置之前, 我们需要先导入 SSL 证书以支持后续 https 的访问.

导入证书需要先有 SSL 证书, 这里推荐使用 Let's Encrypt 创建免费证书, 具体的步骤可以参考 -> 入门指南.

获取到证书后, 一定记得把区域换成 美国东部 (弗吉尼亚北部) us-east-1, 因为在 CloudFront 中, 只能使用这个区域的证书!!!

导入证书在 AWS Certificate Manager 的导入证书页, 具体填写规则如下: