能否创建仅可通过AWS控制台访问的React UI与S3静态站点？

可以实现这类需求，核心是验证访问请求是否关联活跃的AWS控制台登录会话，以下是几种实用方案：

方案1：CloudFront + Lambda@Edge 会话验证 #

• 把S3静态站点设为私有，仅允许CloudFront OAI（Origin Access Identity）访问
• 在CloudFront的Viewer Request阶段部署Lambda@Edge函数，做以下验证：
  • 提取请求中携带的AWS临时凭证（控制台会话会在请求头或Cookie中包含相关身份令牌）
  • 调用sts:GetCallerIdentity API验证凭证有效性，同时检查凭证的SessionName或Arn是否包含控制台会话特征（比如console关键字）
  • 验证失败返回403，验证通过则放行请求到S3

方案2：嵌入AWS控制台自定义页面 #

• 利用AWS控制台的自定义扩展功能，将React UI直接嵌入控制台内：
  • 把React项目构建为静态文件，上传到私有S3桶
  • 通过AWS控制台的自定义工具（或CloudFormation模板）添加自定义导航条目，指向S3中的静态资源
  • 这种方式下，用户必须先登录AWS控制台才能看到并访问该页面，会话过期后自动无法访问
  • 需配置IAM权限，限制只有指定用户/角色能看到这个自定义导航项

方案3：Cognito + 控制台身份联动 #

• 将S3站点访问权限与AWS控制台会话绑定：
  • 配置Cognito用户池，启用与AWS IAM的身份联合（SAML/OIDC）
  • 用户登录控制台后，通过内部流程获取Cognito临时令牌并存在浏览器Cookie中
  • React页面加载时，验证Cookie中的令牌有效性，且确认令牌关联的身份与当前控制台会话一致
  • 配合CloudFront签名Cookie，让S3仅接受携带有效Cognito令牌的请求

重要提示 #

• 所有方案都需严格配置IAM权限，防止越权访问
• 验证控制台会话时，要精准区分凭证来源，避免误放行其他方式生成的临时凭证
• 嵌入控制台的方案需关注AWS控制台版本更新，避免出现兼容性问题

内容的提问来源于stack exchange，提问作者newprogrammer