Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

使用自定义策略创建签名 URL

要使用自定义策略创建签名 URL，请完成以下步骤。

为使用自定义策略的签名 URL 创建策略声明

要为使用自定义策略的签名 URL 创建策略声明，请完成以下步骤。

有关以各种方式控制访问文件的示例策略声明，请参阅使用自定义策略的签名 URL 的示例策略声明。

在使用自定义策略的签名 URL 的策略声明中指定的值

针对自定义策略创建策略声明时，请指定以下值。

使用自定义策略的签名 URL 的示例策略声明

以下示例策略声明显示了如何控制对特定文件、目录中的所有文件或与密钥对 ID 有关的所有文件的访问。这些示例也显示了如何控制来自单个 IP 地址或 IP 地址范围的访问，以及如何防止用户在指定日期和时间后使用签名 URL。

如果复制并粘贴其中的任何示例，请删除任何空格（包括制表符和换行符），将值替换为自己的值，并在右大括号（}）后面包含一个换行符。

有关更多信息，请参阅 在使用自定义策略的签名 URL 的策略声明中指定的值。

示例策略声明：从 IP 地址范围访问一个文件

签名 URL 中的以下示例自定义策略指定用户可从范围 192.0.2.0/24 内的 IP 地址访问文件 https://d111111abcdef8.cloudfront.net/game_download.zip，直至 UTC 时间 2023 年 1 月 31 日上午 10 点：

{
    "Statement": [
        {
            "Resource": "https://d111111abcdef8.cloudfront.net/game_download.zip",
            "Condition": {
                "IpAddress": {
                    "AWS:SourceIp": "192.0.2.0/24"
                },
                "DateLessThan": {
                    "AWS:EpochTime": 1675159200
                }
            }
        }
    ]
}

示例策略声明：从 IP 地址范围访问一个目录中的所有文件

以下示例自定义策略允许您为 training 目录中的任何文件创建签名 URL，如 Resource 参数中的星号通配符 (*) 所指示。用户可从范围 192.0.2.0/24 内的 IP 地址访问文件，直至 UTC 时间 2023 年 1 月 31 日上午 10 点：

{
    "Statement": [
        {
            "Resource": "https://d111111abcdef8.cloudfront.net/training/*",
            "Condition": {
                "IpAddress": {
                    "AWS:SourceIp": "192.0.2.0/24"
                },
                "DateLessThan": {
                    "AWS:EpochTime": 1675159200
                }
            }
        }
    ]
}

您在其中使用此策略的每个签名 URL 包括确定特定文件的 URL，例如：

https://d111111abcdef8.cloudfront.net/training/orientation.pdf

示例策略声明：从一个 IP 地址访问与一个密钥对 ID 关联的所有文件

以下示例自定义策略允许您为与任何分配有关的任何文件创建签名 URL，如 Resource 参数中的星号通配符 (*) 所指示。签名 URL 必须使用 https:// 协议，而不是 http://。用户必须使用 IP 地址 192.0.2.10/32。（CIDR 表示法中的值 192.0.2.10/32 指代单个 IP 地址 192.0.2.10。） 这些文件仅从 UTC 时间 2023 年 1 月 31 日上午 10 点到 UTC 时间 2023 年 2 月 2 日上午 10 点期间可用：

{
    "Statement": [
       {
            "Resource": "https://*",
            "Condition": {
                "IpAddress": {
                    "AWS:SourceIp": "192.0.2.10/32"
                },
                "DateGreaterThan": {
                    "AWS:EpochTime": 1675159200
                },
                "DateLessThan": {
                    "AWS:EpochTime": 1675332000
                }
            }
        }
    ]
}

您在其中使用此策略的每个签名 URL 包括确定特定 CloudFront 分配中特定文件的 URL，例如：

https://d111111abcdef8.cloudfront.net/training/orientation.pdf

签名 URL 还包括密钥对 ID，它必须与您在 URL 中指定的分配 (d111111abcdef8.cloudfront.net) 中的可信密钥组关联。

为使用自定义策略的签名 URL 创建签名

使用自定义策略的签名 URL 的签名是策略声明的哈希、签署及 Base64 编码版本。要为自定义策略创建签名，请完成以下步骤。

有关额外信息以及如何哈希、签署及编码策略声明的示例，请参阅：