如何通过CloudFront配置自定义域名服务多区域超2个私有S3存储桶

首先明确基础规则：单个CloudFront分发最多支持添加100个独立源站，Origin Groups单组最多2个源站的限制，仅针对单组的故障切换场景，你完全可以不依赖Origin Groups实现多源站接入，根据实际使用场景选择对应配置方案即可： #

场景1：不同S3桶负责不同路径的资源 #

如果各区域S3桶存储的是不同路径的资源，直接通过缓存行为（Cache Behavior）路由即可：

• 进入CloudFront分发的「Origins」配置页，逐个添加所有需要接入的私有S3桶，每个桶都配置专属的OAC（Origin Access Control）权限，确保CloudFront有权限拉取桶内内容
• 新增多条缓存行为，每条行为设置对应的路径匹配规则（例如/cn-resources/*指向中国区S3桶、/us-resources/*指向美西S3桶），将行为的源站选项设置为对应S3桶
• 默认缓存行为（Default Behavior）指向你指定的主S3桶，兜底处理所有未匹配到特殊路径的请求

场景2：所有S3桶为同一份内容的多区域副本，需要就近回源+故障切换 #

如果多区域S3桶存储的是完全相同的内容，需要实现边缘节点就近回源、同时支持故障自动切换，可通过Origin Groups+地理路由规则组合实现：

• 先将每2个互为备份的S3桶组成一个Origin Group，每个组内配置故障切换规则，某一个桶回源失败时自动切到同组的另一个桶
• 添加多条优先级高于默认行为的缓存行为，所有缓存行为的路径匹配规则都设为/*，每条行为配置对应的地理路由规则，将对应区域的用户请求路由到就近区域的Origin Group
• 最低优先级的默认行为指向全局主Origin Group，兜底处理所有未匹配到地理路由规则的请求

权限配置注意事项 #

• 所有私有S3桶的桶策略都需要允许对应CloudFront分发的OAC发起s3:GetObject请求，禁止公共访问权限
• 跨区域S3桶不需要额外配置跨域规则，CloudFront会自动处理跨区域回源的网络链路

内容的提问来源于stack exchange，提问作者Matt W