私有S3存储桶能否通过CloudFront提供静态网站服务且禁止直接访问S3？

1. 私有S3存储桶是否可以使用S3静态网站托管功能？ #

可以开启静态网站托管配置，但直接使用S3静态网站托管端点对外提供服务时，私有桶会返回403拒绝访问。
这里存在一个常见的配置误区：如果将S3静态网站端点作为CloudFront的源站，S3静态网站端点本身不支持IAM身份验证，无法兼容CloudFront的源访问控制（OAC）或源访问身份（OAI），这种场景下你必须将存储桶设为公开访问才能正常返回内容，这就是你之前配置失败的核心原因。

2. 能否实现用户仅能通过CloudFront访问站点，禁止直接访问S3存储桶URL？ #

完全可以，推荐优先使用以下标准方案，全程保持S3存储桶为私有状态：

• 关闭S3存储桶的所有公开访问设置，保持桶私有权限
• CloudFront源站配置选择S3的REST API端点（不要选择带website-前缀的静态网站端点）
• 为CloudFront源站配置源访问控制（OAC），按照控制台提示将生成的桶策略添加到S3存储桶的权限配置中，仅允许该OAC身份执行s3:GetObject操作
• 在CloudFront常规配置中设置默认根对象为index.html，如果需要支持子路径自动映射到对应目录下的index.html（比如/about/返回/about/index.html），可以配置CloudFront Function做简单的URL重写即可实现
• 若需要自定义错误页（比如404返回指定页面），可以在CloudFront的错误页面配置中添加对应规则，不需要依赖S3静态网站托管的错误页配置

特殊场景替代方案（必须使用S3静态网站托管的重定向等原生能力时） #

如果你的静态站点依赖S3静态网站托管的原生重定向规则、条件路由等CloudFront无法直接实现的能力，可以用以下方案实现私有桶+仅CloudFront访问：

• 开启S3静态网站托管，保持存储桶私有
• 在CloudFront源站配置中添加一个自定义密钥请求头，比如X-Allow-Access: 自定义随机字符串
• 在S3桶策略中添加访问条件，仅允许携带对应自定义请求头的请求执行s3:GetObject操作
• 该方案安全性略低于OAC方案，需注意保管自定义请求头的密钥内容

配置完成后，用户直接访问S3的REST端点或静态网站端点都会返回403错误，仅能通过CloudFront的分发域名访问站点内容。

内容的提问来源于stack exchange，提问作者hipsterstomper69