寻求AWS CloudFront多文件访问的限时令牌替代方案

我们有一款移动应用和Web应用，用来展示云端存储的特定内容。多数场景下内容是逐个展示的，但部分场景里移动应用需要给设备下载数百个文件，而且必须确保只有注册用户才能访问这些文件。

目前我们用的是其他云服务商，能生成有效期极短的令牌，用这个令牌可以下载任意文件，还能定期刷新令牌。

在AWS环境里我们考虑过用预签名URL，但它只适用于单个文件，还存在以下问题：

• 如果在客户端给每个URL签名，就得把密钥暴露给设备，而且还要通过代码在CloudFront上轮换这些密钥；
• 如果给应用预生成一批预签名URL，但有些场景下会在较长时间段内逐个下载文件，这会导致部分签名过期，得再次从后端获取链接；
• 如果在使用前通过后端给URL签名，会增加后端调用量、网络延迟和服务器负载，批量下载的时候还会拉长下载时间。

想请教下，AWS有没有能生成限时令牌的方案，让用户可以通过CloudFront访问多个文件？

1. CloudFront 签名Cookie #

这是最贴合你需求的方案：

• 可生成单Cookie访问多个文件（甚至整个路径下的所有文件），无需为每个文件单独生成预签名URL；
• 支持设置Cookie的有效期，满足你“限时极短”的要求，还能实现令牌刷新逻辑；
• 签名过程在后端完成，不会把密钥暴露给客户端，密钥轮换可通过CloudFront的密钥组管理实现，无需手动编程；
• 客户端拿到Cookie后，后续所有请求（包括批量下载的数百个文件）自动携带Cookie，CloudFront会验证签名有效性，不用每次请求都调用后端生成URL，大幅减少后端负载和延迟。

具体实现逻辑：

• 后端验证用户身份（确认是注册用户）后，用CloudFront的私有密钥生成签名Cookie，指定允许访问的路径（比如/content/*）、有效期；
• 客户端收到Cookie后，在有效期内访问该路径下的所有文件，CloudFront会自动验证Cookie，合法则放行到S3源站。

2. CloudFront + OIDC 身份验证（结合AWS WAF） #

如果你的应用已经有成熟的OIDC身份提供商（比如Cognito、Auth0），可以采用这套方案：

• 配置CloudFront使用OIDC进行身份验证，用户访问时先跳转到身份提供商登录，验证通过后获得短期令牌；
• 通过AWS WAF规则限制只有携带有效OIDC令牌的请求才能访问指定内容路径，令牌有效期可以设置得很短，支持自动刷新；
• 这种方式不需要生成签名URL或Cookie，直接依靠OIDC令牌实现批量访问控制，后端只需要维护身份验证逻辑，不用处理URL签名的额外负载。

3. S3 Bucket Policy + CloudFront Origin Access Control (OAC) + 短期IAM角色（适合服务器端批量下载场景） #

如果是移动应用后端需要批量下载文件再分发给设备，可以用这种方式：

• 给后端服务分配短期IAM角色，角色权限限制为仅能访问指定的S3内容路径，角色会话时长设置为短时间；
• 后端用该角色的临时凭证通过CloudFront（配合OAC确保只有CloudFront能访问S3）批量下载文件，再分发给设备；
• 这种方式避免了客户端直接接触云资源凭证，后端可以高效批量处理文件，同时通过短期角色确保权限时效性。

内容的提问来源于stack exchange，提问作者Vyacheslav Benedichuk