Amazon S3: Wie kann der Zugriff auf einen bestimmten Pfad nur für einen bestimmten Referer zugelassen werden?

Question

Ich habe einen Amazon S3-Bucket mybucket und möchte nur den Zugriff auf Inhalte in einem bestimmten verschachtelten Ordner (oder in S3-Termini mit einem bestimmten "Präfix") ermöglichen.

Ich habe versucht, die folgende S3-Bucket-Richtlinie, aber es funktioniert nicht. Nachdem ich die Bedingung hinzugefügt hatte, fing ich an, Zugriff verweigert Fehler im Browser zu erhalten.

{ 
    "Version": "2012-10-17", 
    "Id": "Policy for mybucket", 
    "Statement": [ 
     { 
      "Sid": "Allow access to public content only from my.domain.com", 
      "Effect": "Allow", 
      "Principal": "*", 
      "Action": "s3:GetObject", 
      "Resource": "arn:aws:s3:::mybucket/public/content/*", 
      "Condition": { 
       "StringLike": { 
        "aws:Referer": [ 
         "http://my.domain.com/*" 
        ] 
       } 
      } 
     } 
    ] 
} 

Wie sollte die Richtlinie aussehen, um dies zu erreichen?

Answer 1

Sie müssen die Richtlinie in zwei Anweisungen aufteilen. Ein Zugriff auf den Ordner (Präfix) zu ermöglichen, und ein Zugriff zu verweigern, wenn der Referer nicht einer der weißen Liste Domains ist: „funktioniert nicht“

{ 
    "Version": "2012-10-17", 
    "Id": "Policy for mybucket", 
    "Statement": [ 
     { 
      "Sid": "Allow access to public content", 
      "Effect": "Allow", 
      "Principal": "*", 
      "Action": "s3:GetObject", 
      "Resource": "arn:aws:s3:::mybucket/public/content/*" 
     }, 
     { 
      "Sid": "Deny access to public content when not on my.domain.com", 
      "Effect": "Deny", 
      "Principal": "*", 
      "Action": "s3:GetObject", 
      "Resource": "arn:aws:s3:::mybucket/public/content/*", 
      "Condition": { 
       "StringNotLike": { 
        "aws:Referer": [ 
         "http://my.domain.com/*" 
        ] 
       } 
      } 
     } 
    ] 
}