基于用户权限限制AWS S3 Bucket媒体URL访问的非IAM方案咨询

完全可以不用逐个配置IAM用户，结合你已有的用户认证系统，通过CloudFront的Cookie验证就能实现需求，核心是用Lambda@Edge在请求阶段校验用户身份与文件归属的匹配性，以下是具体落地步骤：

1. 调整S3存储结构 #

先把用户文件按用户ID/用户名划分独立目录，比如：

s3://your-bucket/userA/media/xxx.jpg
s3://your-bucket/userB/csv/yyy.csv

通过路径明确文件归属，后续可直接通过路径判断访问权限。

2. 配置CloudFront基础设置 #

• 将S3桶改为私有，关闭公开访问，同时配置Origin Access Control（OAC），让CloudFront成为唯一能访问S3的入口，避免绕开权限控制直接访问S3。
• 编辑CloudFront分发的缓存行为，把Cookie设置改为「转发特定Cookie」，添加你系统中标识已认证用户的Cookie名称（比如user_id）。

3. 编写Lambda@Edge校验函数 #

创建一个部署在us-east-1区域的Lambda函数（Lambda@Edge要求必须在此区域），关联到CloudFront的Viewer Request触发阶段，实现两个核心逻辑：

• 提取并验证请求中的用户Cookie（无有效Cookie直接返回403）。
• 解析请求路径中的用户目录，与Cookie中的用户ID对比，不匹配则返回403。

示例Python代码：

import json

def lambda_handler(event, context):
    request = event['Records'][0]['cf']['request']
    headers = request['headers']
    
    # 提取用户Cookie
    user_id = None
    if 'cookie' in headers:
        cookies = headers['cookie'][0]['value'].split('; ')
        for cookie in cookies:
            if cookie.startswith('user_id='):
                user_id = cookie.split('=')[1]
                break
    
    # 无有效Cookie，拒绝访问
    if not user_id:
        return {
            'status': '403',
            'statusDescription': 'Forbidden',
            'headers': {
                'content-type': [{'key': 'Content-Type', 'value': 'text/plain'}]
            },
            'body': 'Access Denied: No valid user session'
        }
    
    # 解析请求路径中的目标用户目录
    uri = request['uri'].lstrip('/')
    target_user = uri.split('/')[0] if '/' in uri else ''
    
    # 用户身份与文件归属不匹配，拒绝访问
    if target_user != user_id:
        return {
            'status': '403',
            'statusDescription': 'Forbidden',
            'headers': {
                'content-type': [{'key': 'Content-Type', 'value': 'text/plain'}]
            },
            'body': 'Access Denied: You cannot access this user\'s files'
        }
    
    # 验证通过，放行请求
    return request

4. 集成现有用户认证系统 #

用户登录成功后，将加密/签名后的用户ID写入Cookie（建议用JWT签名，防止篡改，Lambda函数中可添加JWT签名验证步骤），同时设置Cookie的HttpOnly、Secure、SameSite属性提升安全性。

5. 优化缓存与权限 #

• 配置CloudFront缓存键包含user_idCookie，避免不同用户的内容互相缓存。
• 给S3桶添加桶策略，仅允许CloudFront的OAC角色访问，彻底阻断直接访问S3的渠道。

为什么这个方案更适合你？ #

IAM用户策略仅适用于少量用户场景，1000+用户的情况下，逐个配置策略、管理密钥的成本极高。而上述方案只需一套配置，无论用户数量多少都能支撑，完全适配你的现有系统架构。

内容的提问来源于stack exchange，提问作者Bhavesh Chauhan