Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

使用自定义策略创建签名 URL

要使用自定义策略创建签名 URL，请执行以下步骤。

签名 URL 示例：

https://d111111abcdef8.cloudfront.net/image.jpg ? color=red&size=medium& Policy=eyANCiAgICEXAMPLEW1lbnQiOiBbeyANCiAgICAgICJSZXNvdXJjZSI6Imh0dHA 6Ly9kemJlc3FtN3VuMW0wLmNsb3VkZnJvbnQubmV0L2RlbW8ucGhwIiwgDQogICAgICAiQ 29uZGl0aW9uIjp7IA0KICAgICAgICAgIklwQWRkcmVzcyI6eyJBV1M6U291cmNlSXAiOiI yMDcuMTcxLjE4MC4xMDEvMzIifSwNCiAgICAgICAgICJEYXRlR3JlYXRlclRoYW4iOnsiQ VdTOkVwb2NoVGltZSI6MTI5Njg2MDE3Nn0sDQogICAgICAgICAiRGF0ZUxlc3NUaGFuIjp 7IkFXUzpFcG9jaFRpbWUiOjEyOTY4NjAyMjZ9DQogICAgICB9IA0KICAgfV0gDQp9DQo &Signature=nitfHRCrtziwO2HwPfWw~yYDhUF5EwRunQA-j19DzZrvDh6hQ73lDx~ -ar3UocvvRQVw6EkC~GdpGQyyOSKQim-TxAnW7d8F5Kkai9HVx0FIu-5jcQb0UEmat EXAMPLE3ReXySpLSMj0yCd3ZAB4UcBCAqEijkytL6f3fVYNGQI6 &Key-Pair-Id=K2JCJMDEHXQW5F

为使用自定义策略的签名 URL 创建策略声明

要创建自定义策略的策略声明，请执行以下步骤。有关以各种方式控制访问文件的一些示例策略声明，请参阅使用自定义策略的签名 URL 的示例策略声明。

在使用自定义策略的签名 URL 的策略声明中指定的值

针对自定义策略创建策略声明时，请指定以下值。

使用自定义策略的签名 URL 的示例策略声明

以下示例策略声明显示了如何控制对特定文件、目录中的所有文件或与密钥对 ID 有关的所有文件的访问。这些示例也显示了如何控制来自单个 IP 地址或 IP 地址范围的访问，以及如何防止用户在指定日期和时间后使用签名 URL。

如果复制并粘贴其中的任何示例，请删除任何空格（包括制表符和换行符），将值替换为自己的值，并在右大括号 (}) 后面包含一个换行符。

有关更多信息，请参阅在使用自定义策略的签名 URL 的策略声明中指定的值。

示例策略声明：从 IP 地址范围访问一个文件

签名 URL 中的以下示例自定义策略指定用户可从范围 https://d111111abcdef8.cloudfront.net/game_download.zip 内的 IP 地址访问文件 192.0.2.0/24，直至 UTC 时间 2013 年 1 月 1 日上午 10 点：

{
    "Statement": [
        {
            "Resource": "https://d111111abcdef8.cloudfront.net/game_download.zip",
            "Condition": {
                "IpAddress": {
                    "AWS:SourceIp": "192.0.2.0/24"
                },
                "DateLessThan": {
                    "AWS:EpochTime": 1357034400
                }
            }
        }
    ]
}

示例策略声明：从 IP 地址范围访问目录中的所有文件

以下示例自定义策略允许您为 training 目录中的任何文件创建签名 URL，如 Resource 参数中 * 通配符所指示的。用户可从范围 192.0.2.0/24 内的 IP 地址访问文件，直至 UTC 时间 2013 年 1 月 1 日上午 10 点：

{
    "Statement": [
        {
            "Resource": "https://d111111abcdef8.cloudfront.net/training/*",
            "Condition": {
                "IpAddress": {
                    "AWS:SourceIp": "192.0.2.0/24"
                },
                "DateLessThan": {
                    "AWS:EpochTime": 1357034400
                }
            }
        }
    ]
}

您在其中使用此策略的每个签名 URL 包括确定特定文件的基本 URL，例如：

https://d111111abcdef8.cloudfront.net/training/orientation.pdf

示例策略声明：从一个 IP 地址访问与密钥对 ID 有关的所有文件

以下示例自定义策略允许您为与任何分配有关的任何文件创建签名 URL，如 Resource 参数中 * 通配符所指示的。用户必须使用 IP 地址 192.0.2.10/32。（CIDR 表示法中的值 192.0.2.10/32 指代单个 IP 地址 192.0.2.10。） 这些文件仅从 UTC 时间 2013 年 1 月 1 日上午 10 点到 UTC 时间 2013 年 1 月 2 日上午 10 点期间可用：

{
    "Statement": [
        {
            "Resource": "https://*",
            "Condition": {
                "IpAddress": {
                    "AWS:SourceIp": "192.0.2.10/32"
                },
                "DateGreaterThan": {
                    "AWS:EpochTime": 1357034400
                },
                "DateLessThan": {
                    "AWS:EpochTime": 1357120800
                }
            }
        }
    ]
}

您在其中使用此策略的每个签名 URL 包括确定特定 CloudFront 分配中特定文件的基本 URL，例如：

https://d111111abcdef8.cloudfront.net/training/orientation.pdf

签名 URL 还包括密钥对 ID，它必须与您在基本 URL 中指定的分配 (d111111abcdef8.cloudfront.net) 中的可信密钥组关联。

为使用自定义策略的签名 URL 创建签名

使用自定义策略的签名 URL 的签名是策略声明的哈希、签署及 Base64 编码版本。要为自定义策略创建签名，请完成以下步骤。

有关额外信息以及如何哈希、签署及编码策略声明的示例，请参阅：