如何配置S3策略仅允许签名URL访问对象？无需CloudFront实现

你说得没错——那些Restrict Bucket Access、Origin Access Identity之类的参数确实是CloudFront专属的，S3控制台里并没有对应的配置项。不过你完全可以只用S3就实现等效的效果：也就是让存储桶里的对象只能通过签名URL访问，拒绝所有匿名请求。

具体实现步骤： #

1. 确保存储桶为私有，关闭所有公开访问权限

   • 进入S3控制台，找到目标存储桶后切换到「权限」标签页。
   • 开启「阻止所有公开访问」下的全部选项，彻底关闭匿名访问的入口。
   • 删除任何包含"Principal": "*"且允许s3:GetObject的桶策略，同时检查对象级权限，确保没有给匿名用户开放访问权限。

2. 确保生成签名URL的IAM实体具备对应权限

   • 你用来生成签名URL的IAM用户/角色，必须拥有目标存储桶及对象的s3:GetObject权限。可以通过如下IAM策略配置：

     {
       "Version": "2012-10-17",
       "Statement": [
         {
           "Effect": "Allow",
           "Action": "s3:GetObject",
           "Resource": "arn:aws:s3:::your-bucket-name/*"
         }
       ]
     }
     

3. 验证权限效果

   • 用你的Node.js代码生成签名URL，访问该URL应该能正常获取对象。
   • 直接尝试访问对象的S3原生URL（比如https://your-bucket-name.s3.your-region.amazonaws.com/your-object-key），此时会返回403 Forbidden，说明匿名访问已被拒绝，只有签名URL能正常访问。

Node.js生成签名URL的示例代码（AWS SDK v3） #

确保你的代码逻辑正确，这里提供一个标准示例：

const { S3Client, GetObjectCommand } = require("@aws-sdk/client-s3");
const { getSignedUrl } = require("@aws-sdk/s3-request-presigner");

// 初始化S3客户端
const s3Client = new S3Client({
  region: "us-east-1", // 替换为你的存储桶区域
  // 生产环境建议使用IAM角色，本地测试可临时配置凭证
  // credentials: {
  //   accessKeyId: "YOUR_ACCESS_KEY",
  //   secretAccessKey: "YOUR_SECRET_KEY"
  // }
});

// 生成签名URL的异步函数
async function generateS3SignedUrl(bucketName, objectKey, expiresIn = 3600) {
  const command = new GetObjectCommand({
    Bucket: bucketName,
    Key: objectKey
  });
  // 生成默认1小时有效期的签名URL
  return await getSignedUrl(s3Client, command, { expiresIn });
}

// 使用示例
generateS3SignedUrl("my-private-bucket", "files/photo.jpg")
  .then(url => console.log("生成的签名URL:", url))
  .catch(err => console.error("生成签名URL失败:", err));

为什么不需要CloudFront的配置？ #

CloudFront的Restrict Viewer Access等参数，是在CDN层面实现的权限控制——让用户只能通过CloudFront节点访问S3对象，并用CloudFront的签名URL管控访问。而如果直接使用S3的签名URL，只要存储桶是私有状态，就已经实现了「仅允许携带有效签名的请求访问」的核心需求，完全不需要依赖CloudFront。

内容的提问来源于stack exchange，提问作者Billybobbonnet