CloudFront签名URL请求返回HTTP 504错误问题求助

以下是针对你的架构（所有服务部署在AWS Elastic Beanstalk，CloudFront回源到Service1/Service2）的具体排查方向：

• 验证CloudFront源配置准确性
  先确认CloudFront分发的源设置：

  • 源域名是否正确指向Service1/Service2的Elastic Beanstalk负载均衡URL？直接在公网环境用curl -v <LB_URL>测试，看是否能正常返回图片资源
  • 回源协议是否匹配：如果CloudFront配置了HTTPS回源，必须确保后端LB绑定了有效的SSL证书，且回源端口设置为443；若用HTTP，端口设为80

• 检查安全组与网络ACL的访问权限

  • Elastic Beanstalk环境的安全组必须放行CloudFront的入站流量：可以直接引用AWS提供的前缀列表com.amazonaws.global.cloudfront.origin-facing，允许该列表下的IP访问后端服务的HTTP/HTTPS端口
  • 检查VPC网络ACL，确保入站规则允许CloudFront IP的TCP流量（对应端口），出站规则允许后端服务的响应流量返回

• 确认CloudFront签名URL的有效性
  虽然504是超时错误，但也不能排除签名URL本身的问题：

  • 检查签名的过期时间是否未过期，签名使用的密钥对是否与CloudFront分发配置的密钥对一致
  • 临时修改CloudFront分发，允许无签名的测试请求，看是否能正常获取图片，排除签名逻辑导致的间接问题

• 通过日志定位根因

  • 开启CloudFront访问日志，查看日志中的sc-status、x-edge-detailed-result-type字段，确认是源站无响应还是超时
  • 查看Service1/Service2的Elastic Beanstalk日志（包括Web服务器日志、应用日志），确认是否收到CloudFront的请求，以及请求是否因应用错误、资源耗尽等导致无法及时响应
  • 查看CloudFront控制台的监控指标，重点关注OriginResponseTime（源站响应时间）和OriginErrorRate（源站错误率），判断是否是源站性能问题

• 排查DNS解析与私有网络访问问题

  • 用dig <你的CNAME域名>测试Route53解析结果，确认是否正确指向LB URL，且解析已生效（TTL是否已过期）
  • 如果Service1/Service2部署在私有VPC中，CloudFront无法直接访问公网LB的话，需要配置CloudFront使用VPC端点访问私有源，或者确保LB的公网访问权限正常

内容的提问来源于stack exchange，提问作者JsbDev