能否通过CloudFront使用S3预签名URL访问私有对象？

核心结论 #

• 完全可以通过CloudFront使用S3预签名URL执行GetObject和PutObject操作，无需切换到CloudFront签名URL或S3传输加速。
• 不需要配置OAI/OAC，反而必须禁用这类源访问控制——因为OAI/OAC会让CloudFront以自身身份访问S3，与预签名URL携带的用户身份冲突，导致S3签名验证失败。

关键配置步骤 #

1. CloudFront源配置

• 选择S3存储桶的REST端点作为源域名（格式：your-bucket.s3.amazonaws.com），不要选静态网站托管端点（其URL结构与S3 API不兼容，会破坏预签名验证）。
• 源访问控制设置为「不使用OAI或OAC」，确保CloudFront完整转发客户端的所有请求参数（包括预签名的签名、凭证等查询参数）到S3。

2. CloudFront缓存行为配置

• 允许的HTTP方法：勾选GET、PUT（以及你需要的其他方法），确保CloudFront不会拦截PUT请求。
• 缓存策略：
  • 由于每个预签名URL都是唯一且有有效期的，建议对这类请求设置无缓存（自定义缓存策略中，将缓存TTL设为0），或者在缓存键中排除所有预签名相关的查询参数（如X-Amz-Signature、X-Amz-Date、X-Amz-Credential等），避免无效缓存。
• 转发设置：
  • 确保转发所有查询参数（CloudFront默认是转发状态，除非你手动排除）。
  • 必须转发Host头，否则S3无法识别目标存储桶，导致请求失败。

3. S3存储桶权限配置

• 保持原有预签名URL的权限逻辑：生成预签名的IAM用户/角色必须拥有s3:GetObject和s3:PutObject权限。
• 不要在桶策略中添加「仅允许OAI访问」的规则，否则会阻止预签名URL的请求（因为此时请求身份是预签名对应的用户，而非CloudFront的OAI）。

使用方式 #

生成S3预签名URL时，基于S3 REST端点生成（比如用AWS CLI：aws s3 presign s3://your-bucket/object-key --expires-in 3600），然后将URL中的S3域名替换为你的CloudFront分发域名，即可供客户端通过CloudFront访问。

常见坑点 #

• 误用S3静态网站托管端点作为CloudFront源：静态网站的URL路径格式与S3 API不同，会导致S3无法验证预签名。
• 缓存预签名URL：预签名URL有有效期且每个签名唯一，缓存会导致后续请求失效。
• 未转发必要请求头：比如PUT请求需要的Content-Type头，若被CloudFront拦截，会触发S3的签名验证失败。

内容的提问来源于stack exchange，提问作者ja841014