S3搭配CloudFront图片加载返回403：地域访问差异求助

核心场景 #

在印度新德里访问Cloudways托管的Web应用时，通过CloudFront访问悉尼区域（ap-southeast-2）S3存储桶内的图片返回403错误，但悉尼、印度古吉拉特邦地区访问正常。当前S3存储桶策略仅允许指定CloudFront分布通过服务主体访问。

可能原因及排查动作 #

1. CloudFront边缘节点缓存旧错误响应 #

新德里地区的CloudFront边缘节点可能缓存了之前的403错误结果，其他区域节点未触发该缓存：

• 手动提交CloudFront缓存失效请求：针对报错的图片路径发起缓存清除，等待失效完成后重新测试。
• 临时调整缓存策略：将目标图片的缓存TTL设为0，强制请求直接回源S3，验证是否仍报错。

2. CloudFront Origin Access Control（OAC）配置不匹配 #

当前存储桶策略采用Service: cloudfront.amazonaws.com+AWS:SourceArn的授权逻辑，对应CloudFront的OAC机制，需确认配置一致性：

• 检查CloudFront分布的源设置：确认已启用OAC，且OAC绑定的存储桶与当前S3桶一致。
• 核对策略中的AWS:SourceArn值与CloudFront分布的ARN完全匹配（包括账户ID、分布ID），避免拼写错误。
• 确认CloudFront源使用S3区域端点（如my-bucket.s3.ap-southeast-2.amazonaws.com），禁止使用S3静态网站托管端点，否则OAC授权会失效。

3. 请求路径的大小写/编码异常 #

S3对象键区分大小写，新德里地区的请求可能存在路径格式问题：

• 对比正常区域与新德里的请求URL：检查图片路径的大小写、特殊字符编码是否一致，比如是否存在image.jpg与Image.jpg的差异。
• 直接在S3控制台验证：确认报错的图片路径在桶内真实存在，且对象键与请求路径完全匹配。

4. CloudFront地理限制或路由规则问题 #

检查CloudFront是否存在区域访问限制或路由配置差异：

• 查看CloudFront的「Geo Restrictions」设置：确认未限制印度新德里地区的访问。
• 核对缓存行为配置：确保新德里地区的请求匹配的缓存行为与正常区域一致，且该行为允许访问目标S3源。

5. 跨区域权限/网络同步延迟 #

极端情况下，悉尼S3与新德里CloudFront节点间可能存在临时权限同步或网络异常：

• 测试S3预签名URL：如果预签名URL能正常访问图片，说明问题出在CloudFront与S3的授权链路；如果仍报错，需排查S3的其他权限配置（如IAM角色权限、公共访问阻止设置）。
• 开启访问日志定位：在CloudFront中开启访问日志，同时查看S3的访问日志，明确403错误的具体触发条件（如AccessDenied的详细原因）。

内容的提问来源于stack exchange，提问作者Sandeep Pal