AWS S3配置：仅允许文件上传者访问自身上传的文件

为什么IAM用户策略不适用？ #

IAM用户是AWS账户级别的身份实体，每个网站注册用户对应一个IAM用户会导致管理成本剧增（AWS账户有IAM用户数量限制），且无法与你的应用用户系统无缝集成，完全不适合面向普通网站注册用户的场景。

推荐实现方案 #

1. 用AWS Cognito管理应用用户身份 #

• 搭建Cognito用户池，对接你的React网站注册/登录流程，让每个网站用户对应一个Cognito身份。
• 启用Cognito身份池，为认证用户分配临时AWS凭证（STS token），该凭证仅允许用户访问自己的专属资源。

2. S3 Bucket结构设计 #

• 按用户ID划分目录，例如 s3://your-bucket/{user-id}/file1.jpg，确保每个用户的文件都存储在自己的专属前缀下。

3. 两种访问控制方式二选一 #

方式一：基于Cognito角色的权限控制

• 为Cognito认证用户配置IAM角色，策略示例如下：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutObject",
        "s3:GetObject",
        "s3:DeleteObject"
      ],
      "Resource": "arn:aws:s3:::your-bucket/${cognito-identity.amazonaws.com:sub}/*"
    }
  ]
}

• 该策略通过${cognito-identity.amazonaws.com:sub}变量匹配用户的Cognito身份ID，确保用户仅能访问自己前缀下的文件。
• React端使用AWS Amplify SDK（或直接调用AWS JS SDK），通过Cognito获取临时凭证后直接操作S3，无需暴露永久密钥。

方式二：预签名URL（适配CloudFront场景）

• 如果需要通过CloudFront分发文件，不能让用户直接访问S3，需通过预签名URL做权限校验：
  1. 后端服务（如Lambda）验证用户身份（通过Cognito token）。
  2. 后端根据用户ID生成对应文件的S3预签名URL，并设置有效期（例如15分钟）。
  3. React前端拿到预签名URL后，通过CloudFront访问该资源（需配置CloudFront的Origin Access Control (OAC)，确保仅CloudFront能访问S3）。
• 此方式下，S3 Bucket设置为私有，仅CloudFront和后端服务拥有访问权限，用户只能通过后端生成的专属预签名URL访问自己的文件。

4. 修复之前CloudFront的问题 #

• 你之前用CloudFront未实现权限限制，核心原因是缺少用户身份校验环节：
  • 确保CloudFront的Origin Access Control (OAC) 配置正确，禁止直接访问S3。
  • 不要给所有用户开放CloudFront的访问权限，需通过Lambda@Edge或后端预签名URL的方式，仅允许持有有效凭证的用户访问对应文件。

总结 #

• 放弃IAM用户策略，改用Cognito管理应用级用户身份。
• 结合S3前缀隔离+IAM角色/预签名URL实现用户专属文件访问控制。
• 配合CloudFront时必须加入身份校验环节，不能直接开放所有文件的访问权限。

内容的提问来源于stack exchange，提问作者user16257618