Amazon Cloudfront з S3. Доступ заборонено

Ми намагаємось розповсюджувати відра S3 через Cloudfront, але чомусь єдиною відповіддю є документ AccessDenied XML на зразок наступного:

<Error>
    <Code>AccessDenied</Code>
    <Message>Access Denied</Message>
    <RequestId>89F25EB47DDA64D5</RequestId>
    <HostId>Z2xAduhEswbdBqTB/cgCggm/jVG24dPZjy1GScs9ak0w95rF4I0SnDnJrUKHHQC</HostId>
</Error>

Ось налаштування, які ми використовуємо:

А ось політика щодо відра

{
    "Version": "2008-10-17",
    "Id": "PolicyForCloudFrontPrivateContent",
    "Statement": [
        {
            "Sid": "1",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::cloudfront:user/CloudFront Origin Access Identity *********"
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::x***-logos/*"
        }
    ]
}

Якщо ви отримуєте доступ до кореня розповсюдження CloudFront, вам потрібно встановити кореневий об’єкт за замовчуванням: http://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/DefaultRootObject.html

Щоб вказати основний об’єкт root за допомогою консолі CloudFront:

• Увійдіть до консолі управління AWS та відкрийте консоль Amazon CloudFront за адресою https://console.aws.amazon.com/cloudfront/ .

• У списку дистрибутивів у верхній панелі виберіть розподіл для оновлення.

• На панелі Інформація про розподіл на вкладці Загальні натисніть Редагувати .

• У діалоговому вікні " Редагувати розподіл " у полі Об'єкт за замовчуванням введіть ім'я файлу кореневого об'єкта за замовчуванням.

  Введіть тільки ім'я об'єкта, наприклад, index.html. Не додайте а / перед назвою об'єкта.

• Щоб зберегти зміни, натисніть Так, Редагувати .

У мене щойно виникала така ж проблема, і хоча відповідь Куші вирішує проблему для index.html в кореневому шляху, моя проблема була також з підкаталогами, оскільки я використовував їх у поєднанні з index.html, щоб отримати "гарні URL-адреси" (приклад .com / щось / а не "потворний" example.com/something.html)

Частково це і вина Amazon, тому що, коли ви налаштуєте дистрибутив CloudFront, він запропонує вам відра S3 на вибір, але якщо ви виберете одне з них, воно використовуватиме URL-адресу відра, а не статичну URL-адресу розміщення веб-сайту як резервного.

Отже, щоб вирішити проблему:

• Увімкніть статичне розміщення веб-сайту для відра
• Встановіть документ « Індекс» (і, можливо, помилка ) відповідним чином
• Скопіюйте URL-адресу кінцевої точки - її можна знайти поруч із зазначеними вище параметрами. Вона повинна виглядати приблизно так: <bucket.name> .s3-website- <aws-region> .amazonaws.com
• Використовуйте цю URL-адресу як джерело розповсюдження CloudFront. (Це також зробить непотрібне налаштування Root Object за замовчуванням , але все-таки не завадить його встановити)

У мене була така ж проблема, як і @Cezz, хоча рішення не працювало б у моєму випадку.

Як тільки статичний хостинг веб-сайтів увімкнено для відра, це означає, що користувачі можуть отримати доступ до вмісту або через URL-адресу Cloudfront, або через URL-адресу S3, що не завжди бажано. Наприклад, у моєму випадку розподіл Cloudfront увімкнено SSL, і користувачі не повинні мати доступ до нього через з'єднання, яке не є SSL.

Я знайшов рішення:

• залишати відключеним статичний хостинг веб-сайтів у відрі S3
• зберігати походження розповсюдження Cloudfront як ідентифікатор S3
• встановіть "Обмежити доступ до відра" на "Так" (і для зручності дозвольте CloudFront автоматично оновлювати політику ковша)
• на "Сторінках помилок" створіть власну відповідь та позначте код помилки "403: Заборонено" на потрібну сторінку відповідей, тобто /index.html, з кодом відповіді 200

Зауважте, що в моєму випадку я обслуговую програму javascript для однієї сторінки, де всі шляхи вирішені index.html. Якщо у вашому S3 відрізці є шляхи, що вирішують різні об'єкти, це не працюватиме.

У моєму випадку я використовував декілька джерел з поведінкою "Шаблон Шлях" разом із Шляхом походження в моєму відрі S3:

Погане налаштування:

Поведінка CloudFront: /images/*->My-S3-origin

My-S3-походження: Шлях походження: /images

Файли S3: /images/my-image.jpg

Отримати запит: /images/my-image.jpg -> 403

У цьому випадку весь запит CloudFront GET надсилається до джерела: /image/my-image.jpgпрефіксам Origin Path:, /imagesтому запит у S3 виглядає як /images/images/my-image.jpgтакого не існує.

Рішення

видалити початковий шлях.

Це дозволило мені отримати доступ до відра із ідентифікацією доступу до джерела та правами на відро та окремими правами файлів.

У моєму випадку я неправильно налаштував маршрут 53. Я створив псевдонім у своєму домені, але вказав на відро S3 замість дистрибутива CloudFront.

Також я опустив основний об'єкт root. Консоль справді можна вдосконалити, якби вони додали трохи тексту до тексту питання про можливі наслідки її опущення.