如何搭配CloudFront OAI使用S3静态托管条件重定向功能

首先明确核心原因：你在CloudFront里找不到OAI配置入口是正常的——*OAI（源站访问身份）*仅支持源站类型为S3 REST API端点的场景，如果你把源站设置为S3静态网站托管的公网端点（格式为<bucket-name>.s3-website-<region>.amazonaws.com），CloudFront会将其识别为普通自定义源站，自然不会提供OAI配置项。而你之前将源站切换为S3 REST端点后重定向失效也符合预期：条件重定向、路由规则这类能力是S3静态网站托管功能独有的，走原生S3 REST接口时不会触发这部分逻辑，404响应会直接返回给客户端，不会执行你配置的跳转规则。

可行方案（满足私有桶+OAI+404重定向需求） #

直接放弃S3侧的静态网站重定向规则，将逻辑迁移到CloudFront层实现，这是最稳定、配置成本最低的方案：

• 将CloudFront源站修改为S3 REST API端点，正常配置OAI，桶策略仅授予OAI对应的对象读取权限，完全关闭桶的公网访问、静态网站托管功能
• 进入对应CloudFront分发的错误页面配置模块，新建自定义错误响应：
  • 匹配的HTTP错误码选择404
  • 错误缓存TTL设置为0，避免不存在的对象响应被缓存，导致新生成的图片无法及时访问
  • 响应策略选择「重定向到外部地址」，HTTP响应码设置为307，重定向目标填写你的Lambda服务域名，路径前缀替换为/prod/，和你之前在S3上配置的重定向规则完全对齐
    该方案下所有访问逻辑和你之前公开桶场景下的表现完全一致，桶全程保持私有，仅CloudFront可通过OAI直接读取桶内对象，不需要暴露任何S3公网端点。

如果你一定要保留S3静态网站托管的重定向逻辑，就无法使用OAI，只能通过「CloudFront回源携带自定义校验头+S3桶策略仅放行带对应校验头的请求」的方式限制静态网站端点的访问，这种方案需要自行维护校验密钥、更新访问策略，稳定性和维护成本都不如前者，不推荐使用。

Lambda权限问题解答 #

即使你的Lambda配置了API密钥，仍然需要单独为Lambda配置S3访问权限：

• API密钥是API网关层的客户端身份校验规则，作用是判断发起请求的用户是否有权限调用Lambda服务，和S3的访问控制体系完全独立
• Lambda访问S3时，使用的是自身绑定的执行角色身份发起请求，你需要给该执行角色附加对应的IAM权限：至少包含s3:GetObject（读取原始尺寸图片）、s3:PutObject（上传生成后的指定尺寸图片）权限，同时桶策略也要允许该角色执行对应操作，否则Lambda上传/读取文件时会直接返回403权限错误。

场景补充注意项 #

你的图片缩放链路中，Lambda处理完文件生成、重定向回CloudFront访问地址时，建议给新上传到S3的图片设置合理的Cache-Control头，同时确保CloudFront不会缓存之前触发的404响应，避免用户在图片生成后短时间内访问仍然拿到错误响应。

内容的提问来源于stack exchange，提问作者Jeremy Gottfried