如何配置CloudFront结合预签名URL使用AWS KMS密钥解密访问SSE-KMS加密S3对象？

嘿，我来帮你搞定这个问题——要让CloudFront访问用SSE-KMS加密的S3对象，同时支持预签名URL，核心是搞定权限配置和分发设置，我给你一步步拆解：

1. 确认S3桶的加密基础配置 #

首先你已经用SSE-KMS给S3静态数据加密了，这里要注意别用AWS管理的默认S3 KMS密钥（aws/s3），因为这个密钥的权限策略没法修改，CloudFront没法拿到解密权限。一定要用你自己创建的客户管理KMS密钥（Customer Managed Key），不管是桶默认加密还是单个对象加密都可以。

2. 给CloudFront配置KMS解密权限 #

CloudFront要解密S3对象，必须拿到KMS的kms:Decrypt权限，这里分两种场景：

场景A：使用CloudFront Origin Access Identity（OAI）访问S3 #

这是最推荐的方式，因为OAI可以让S3桶只对CloudFront开放，更安全：

• 找到你的CloudFront OAI的ARN（格式是arn:aws:iam::cloudfront:user/CloudFront Origin Access Identity YOUR_OAI_ID）
• 编辑你的客户管理KMS密钥的权限策略，添加以下语句：

  {
      "Sid": "AllowCloudFrontOAItoDecrypt",
      "Effect": "Allow",
      "Principal": {
          "AWS": "你的OAI_ARN"
      },
      "Action": "kms:Decrypt",
      "Resource": "*",
      "Condition": {
          "StringEquals": {
              "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::你的S3桶名称/*"
          }
      }
  }
  

  这个条件可以确保这个解密权限只针对你的目标S3桶，避免权限过度开放。

场景B：不使用OAI，直接让CloudFront服务访问 #

如果你的场景不适合用OAI，也可以给CloudFront服务主体加权限：

• 在KMS密钥策略里添加以下语句：

  {
      "Sid": "AllowCloudFrontServiceToDecrypt",
      "Effect": "Allow",
      "Principal": {
          "Service": "cloudfront.amazonaws.com"
      },
      "Action": "kms:Decrypt",
      "Resource": "*",
      "Condition": {
          "StringEquals": {
              "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::你的S3桶名称/*"
          }
      }
  }
  

3. 配置CloudFront分发的源站设置 #

• 确保你的CloudFront分发的源站指向目标S3桶
• 如果用OAI的话，一定要在源站设置里开启Restrict Bucket Access，选择你创建的OAI，并且让CloudFront自动更新S3桶的权限（或者你手动给OAI添加s3:GetObject的桶权限）
• 不需要在源站自定义头里加任何额外配置，CloudFront会自动处理解密请求

4. 配置CloudFront预签名URL #

如果要使用预签名URL，注意和S3预签名URL的区别：

• 你需要先在AWS账户里创建CloudFront密钥对（在CloudFront控制台的「密钥管理」或者IAM里操作）
• 用CloudFront的SDK生成预签名URL，而不是S3的SDK。比如用Boto3的示例代码：

  import boto3
  from datetime import datetime, timedelta
  
  # 初始化CloudFront客户端
  cloudfront_client = boto3.client('cloudfront')
  
  # 替换成你的CloudFront密钥对ID和私钥路径
  key_pair_id = "你的CloudFront密钥对ID"
  private_key_file = "/path/to/你的CloudFront私钥.pem"
  
  # 设置预签名URL的有效期（这里是1小时）
  expiration_time = datetime.utcnow() + timedelta(hours=1)
  
  # 生成预签名URL
  presigned_url = cloudfront_client.generate_presigned_url(
      Url="https://你的CloudFront域名/目标对象路径",
      Expires=int(expiration_time.timestamp()),
      KeyPairId=key_pair_id,
      PrivateKey=open(private_key_file).read()
  )
  
  print(presigned_url)
  

• 只要前面的权限配置正确，生成的预签名URL就能正常访问加密的S3对象

常见踩坑点提醒 #

• 一定要用客户管理KMS密钥，AWS管理的aws/s3密钥没法给CloudFront开权限
• 检查S3桶的权限策略，确保OAI或者CloudFront服务主体有s3:GetObject的权限，否则即使KMS权限够也拿不到对象
• KMS密钥和S3桶必须在同一个AWS区域，不然会解密失败

内容的提问来源于stack exchange，提问作者Chris W.