能否使用AWS S3 Access Point托管静态网站及相关配置咨询

核心结论 #

• S3 Access Point 本身不支持原生S3静态网站托管功能，它仅提供S3 REST API访问入口，和S3静态网站端点是完全独立的两类服务。
• 你收到的InvalidRequest报错是因为S3 REST API端点默认要求所有请求携带SigV4签名，未签名的匿名请求默认会被拒绝，和桶本身是否公开无关。
• 如果你仅需要匿名访问静态资源、隐藏原始桶名，且可以接受手动指定完整资源路径（不依赖自动索引/错误文档跳转），可以通过配置公开访问的S3 Access Point实现需求。

你当前配置的问题 #

1. Access Point 公共访问拦截配置错误：你配置了BlockPublicPolicy: true，该规则会直接阻止你为Access Point绑定公开访问的IAM策略，匿名访问请求自然会被拦截。
2. 缺少单独的Access Point访问策略：S3访问权限会同时校验桶策略 + 接入点策略，二者同时允许请求才会生效，你当前仅配置了桶的公开访问策略，未给接入点配置对应权限。

修改后的CloudFormation模板示例 #

AWSTemplateFormatVersion: '2010-09-09'
Resources:
  S3WebsiteBucket:
    Type: AWS::S3::Bucket
    Properties:
      AccessControl: PublicRead
      WebsiteConfiguration:
        IndexDocument: index.html
        ErrorDocument: error.html
      VersioningConfiguration:
        Status: Enabled

  S3WebsiteBucketPolicy:
    Type: AWS::S3::BucketPolicy
    Properties:
      PolicyDocument:
        Id: AllowPublicRead
        Version: 2012-10-17
        Statement:
          - Sid: PublicReadForGetBucketObjects
            Effect: Allow
            Principal: '*'
            Action: 's3:GetObject'
            Resource: !Join
              - ''
              - - 'arn:aws:s3:::'
                - !Ref S3WebsiteBucket
                - /*
      Bucket: !Ref S3WebsiteBucket

  S3AccessPoint:
    Type: AWS::S3::AccessPoint
    Properties:
      Bucket: !Ref S3WebsiteBucket
      Name: my-access-point
      PublicAccessBlockConfiguration:
        BlockPublicAcls: false
        IgnorePublicAcls: false
        BlockPublicPolicy: false
        RestrictPublicBuckets: false

  # 新增接入点访问策略
  S3AccessPointPolicy:
    Type: AWS::S3::AccessPointPolicy
    Properties:
      AccessPointName: !Ref S3AccessPoint
      PolicyDocument:
        Version: 2012-10-17
        Statement:
          - Sid: PublicReadForAccessPoint
            Effect: Allow
            Principal: '*'
            Action: 's3:GetObject'
            Resource: !Sub 'arn:aws:s3:${AWS::Region}:${AWS::AccountId}:accesspoint/${S3AccessPoint}/object/*'

注意事项 #

• 该方案不支持S3静态网站的原生功能：访问接入点根路径不会自动返回index.html，必须手动在URL中指定完整资源路径，例如https://xxx.s3-accesspoint.xxx.amazonaws.com/index.html。
• 如果你需要完整的静态网站托管能力（自动索引页、错误页等），且不需要自定义域名和Route53，可以改用CloudFront作为访问入口，源站绑定你的S3桶，使用CloudFront默认分配的域名即可隐藏原始桶名，同时支持配置默认根对象。

内容的提问来源于stack exchange，提问作者Nikita Fedyashev