如何通过Nginx反向代理访问AWS私有S3存储桶？

完全可以通过修改Nginx配置实现需求，无需将S3存储桶设为公开。核心思路是让Nginx作为中间层，使用AWS IAM用户的密钥对请求进行签名，以合法身份访问私有S3桶，再将内容返回给终端用户。

前提准备 #

• 拥有具备S3读取权限的IAM用户（需包含s3:GetObject权限）
• 该IAM用户的Access Key和Secret Key
• Nginx需安装ngx_http_aws_auth_module模块（编译安装时需添加--add-module=path/to/ngx_http_aws_auth_module，部分预编译包可能已包含）

Nginx配置示例 #

server {
    listen 443 ssl;
    server_name your-domain.com;

    # SSL配置（建议启用，避免明文传输）
    ssl_certificate /path/to/ssl/cert.pem;
    ssl_certificate_key /path/to/ssl/key.pem;

    location /s3/ {
        # 移除URL前缀，匹配S3桶内的文件路径
        rewrite ^/s3/(.*)$ /$1 break;

        # 指向目标S3桶的Endpoint（根据存储桶区域调整）
        proxy_pass https://your-bucket-name.s3.us-east-1.amazonaws.com;

        # 配置AWS签名所需的密钥（推荐用环境变量替代硬编码）
        aws_access_key $env(AWS_S3_ACCESS_KEY);
        aws_secret_key $env(AWS_S3_SECRET_KEY);

        # 可选：启用缓存优化访问性能
        proxy_cache_path /var/cache/nginx/s3 levels=1:2 keys_zone=s3_cache:10m max_size=10g inactive=7d use_temp_path=off;
        proxy_cache s3_cache;
        proxy_cache_valid 200 1h;

        # 传递必要的请求头
        proxy_set_header Host your-bucket-name.s3.us-east-1.amazonaws.com;
        proxy_set_header X-Real-IP $remote_addr;
    }
}

关键配置说明 #

• rewrite规则：将用户访问的/s3/xxx路径转换为S3桶内的/xxx文件路径
• proxy_pass：必须指向S3桶的官方Endpoint，不同区域的Endpoint格式不同（如us-west-2为s3-us-west-2.amazonaws.com）
• AWS密钥：避免硬编码在配置中，可通过环境变量注入（Nginx启动时需加载对应环境变量）
• Host头：必须设置为S3桶的Endpoint，否则S3会拒绝请求

无第三方模块的替代方案 #

如果无法安装ngx_http_aws_auth_module，可借助ngx_http_lua_module编写Lua脚本实现AWS V4签名逻辑。这种方式需要手动处理签名算法，复杂度较高，适合有Lua开发经验的场景。

安全注意事项 #

• 严格限制IAM用户的权限，仅授予访问目标S3桶的必要权限
• 启用Nginx的HTTPS访问，防止数据和密钥在传输过程中泄露
• 可通过allow/deny指令限制Nginx的访问IP，进一步缩小访问范围

内容的提问来源于stack exchange，提问作者Akashgreninja