限制对AWS Elemental MediaStore源的访问 - Amazon CloudFront
创建新的源访问控制源访问控制的高级设置
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

限制对AWS Elemental MediaStore源的访问

CloudFront 提供源访问控制（OAC），用于限制对 AWS Elemental MediaStore 源的访问。

创建新的源访问控制

完成以下主题中描述的步骤，在 CloudFront 中设置新的源访问控制。

先决条件

在创建和设置源访问控制之前，您必须拥有带有 MediaStore 源的 CloudFront 分配。

向源访问控制授予访问 MediaStore 源的权限

在创建源访问控制或在 CloudFront 分配中设置它之前，请确保 OAC 有权访问 MediaStore 源。请在创建 CloudFront 分配后，但在分配配置中将 OAC 添加到 MediaStore 源之前，执行此操作。

要授予 OAC 访问 MediaStore 源的权限，请使用 MediaStore 容器策略，以允许 CloudFront 服务主体（cloudfront.amazonaws.com）访问源。使用策略中的 Condition 元素，仅在请求代表包含 MediaStore 源的 CloudFront 分配时，才允许 CloudFront 访问 MediaStore 容器。

以下是允许 CloudFront OAC 访问 MediaStore 源的 MediaStore 容器策略示例。

例 允许对 CloudFront OAC 进行只读访问的 MediaStore 容器策略
{
        "Version": "2012-10-17",
        "Statement": [
            {
                "Sid": "AllowCloudFrontServicePrincipalReadOnly",
                "Effect": "Allow",
                "Principal": {
                  "Service": "cloudfront.amazonaws.com"
                },
                "Action": [ 
                  "mediastore:GetObject"
                ],
                "Resource": "arn:aws:mediastore:<region>:111122223333:container/<container name>/*",
                "Condition": {
                    "StringEquals": {
                      "AWS:SourceArn": "arn:aws:cloudfront::111122223333:distribution/<CloudFront distribution ID>"
                    },
                    "Bool": {
                      "aws:SecureTransport": "true"
                    }
                }
            }
        ]
}
例 允许对 CloudFront OAC 进行读写访问的 MediaStore 容器策略
{
        "Version": "2012-10-17",
        "Statement": [
            {
                "Sid": "AllowCloudFrontServicePrincipalReadWrite",
                "Effect": "Allow",
                "Principal": {
                  "Service": "cloudfront.amazonaws.com"
                },
                "Action": [ 
                  "mediastore:GetObject",
                  "mediastore:PutObject"
                ],
                "Resource": "arn:aws:mediastore:<region>:111122223333:container/<container name>/*",
                "Condition": {
                    "StringEquals": {
                      "AWS:SourceArn": "arn:aws:cloudfront::111122223333:distribution/<CloudFront distribution ID>"
                    },
                    "Bool": {
                      "aws:SecureTransport": "true"
                    }
                }
            }
        ]
}
注意

要允许写访问，您必须在 CloudFront 分配的行为设置中将 Allowed HTTP methods（允许的 HTTP 方法）配置为包含 PUT。

创建源访问控制

要创建 OAC，可以使用 Amazon Web Services Management Console、Amazon CloudFormation、Amazon CLI 或 CloudFront API。

Console
创建源访问控制

  1. 登录 Amazon Web Services Management Console，并通过以下网址打开 CloudFront 控制台：https://console.amazonaws.cn/cloudfront/v4/home。

  2. 在导航窗格中，选择 Origin access（源访问）。

  3. 选择 Create control setting（创建控制设置）。

  4. 在 Create control setting（创建控制设置）表单上，执行以下操作：

    1. 在 Details（详细信息）窗格中，输入源访问控制的 Name（名称）和（可选）Description（描述）。

    2. 在 Settings（设置）中，建议保留默认设置 [Sign requests (recommended)（签署请求（推荐））]。有关更多信息，请参阅 源访问控制的高级设置。

  5. 从 Origin type（源类型）下拉列表中选择 MediaStore。

  6. 选择创建。

    创建 OAC 后，记下 Name（名称）。在以下过程中，您需要此名称。

向分配中的 MediaStore 源添加源访问控制

  1. 通过 https://console.amazonaws.cn/cloudfront/v4/home 打开 CloudFront 控制台

  2. 选择具有要向其添加 OAC 的 MediaStore 源的分配，然后选择 Origins（源）选项卡。

  3. 选择要向其添加 OAC 的 MediaStore 源，然后选择 Edit（编辑）。

  4. 对于源的 Protocol（协议），选择 HTTPS only（仅 HTTPS）。

  5. 从 Origin access control（源访问控制）下拉菜单中，选择要使用的 OAC。

  6. 选择 Save changes（保存更改）。

分配开始部署到所有 CloudFront 边缘站点。当边缘站点收到新配置时，它会签署其发送到 MediaStore 桶源的所有请求。

CloudFormation

要使用 Amazon CloudFormation 创建源访问控制（OAC），请使用 AWS::CloudFront::OriginAccessControl 资源类型。以下示例显示了 YAML 格式的 Amazon CloudFormation 模板语法，用于创建源访问控制。

Type: AWS::CloudFront::OriginAccessControl
Properties: 
  OriginAccessControlConfig: 
      Description: An optional description for the origin access control
      Name: ExampleOAC
      OriginAccessControlOriginType: mediastore
      SigningBehavior: always
      SigningProtocol: sigv4

有关更多信息，请参阅 Amazon CloudFormation 用户指南 中的 AWS::CloudFront::OriginAccessControl。

CLI

要使用 Amazon Command Line Interface (Amazon CLI) 创建源访问控制，请使用 aws cloudfront create-origin-access-control 命令。您可以使用输入文件来提供命令的输入参数，而不是将每个单独的参数指定为命令行输入。

创建源访问控制（带输入文件的 CLI）

  1. 使用以下命令创建名为 origin-access-control.yaml 的文件。此文件包含 create-origin-access-control 命令的所有输入参数。

    
aws cloudfront create-origin-access-control --generate-cli-skeleton yaml-input > origin-access-control.yaml

  2. 打开刚创建的 origin-access-control.yaml 文件。编辑文件以添加 OAC 的名称、描述（可选），然后将 SigningBehavior 更改为 always。然后保存文件。

    有关其他 OAC 设置的信息，请参阅源访问控制的高级设置。

  3. 使用以下命令通过 origin-access-control.yaml 文件中的输入参数创建源访问控制。

    
aws cloudfront create-origin-access-control --cli-input-yaml file://origin-access-control.yaml

    记下命令输出中的 Id 值。您需要使用它将 OAC 添加到 CloudFront 分配中的 MediaStore 源。

将 OAC 附加到现有分配中的 MediaStore 源（带输入文件的 CLI）

  1. 使用以下命令保存要向其添加 OAC 的 CloudFront 分配的分配配置。该分配必须有 MediaStore 源。

    
aws cloudfront get-distribution-config --id <CloudFront distribution ID> --output yaml > dist-config.yaml

  2. 打开刚创建的名为 dist-config.yaml 的文件。编辑文件，进行以下更改：

    • 在 Origins 对象中，将 OAC 的 ID 添加到名为 OriginAccessControlId 的字段中。

    • 从名为 OriginAccessIdentity 的字段中移除值（如果存在）。

    • 将 ETag 字段重命名为 IfMatch，但不更改字段的值。

    完成后保存该文件。

  3. 使用以下命令更新分配以使用源访问控制。

    
aws cloudfront update-distribution --id <CloudFront distribution ID> --cli-input-yaml file://dist-config.yaml

分配开始部署到所有 CloudFront 边缘站点。当边缘站点收到新配置时，它会签署其发送到 MediaStore 源的所有请求。

API

要使用 CloudFront API 创建源访问控制，请使用 CreateOriginAccessControl。有关您在此 API 调用中指定的字段的更多信息，请参阅 Amazon 开发工具包或其他 API 客户端的 API 参考文档。

创建源访问控制后，可以使用下面的任何一个 API 调用将其附加到分配中的 MediaStore 源：

对于这两个 API 调用，请在源内的 OriginAccessControlId 字段中提供源访问控制 ID。有关您在这些 API 调用中指定的其他字段的更多信息，请参阅 分配设置参考 以及有关 Amazon SDK 或其他 API 客户端的 API 参考文档。

源访问控制的高级设置

CloudFront 源访问控制特征包括仅适用于特定使用案例的高级设置。除非您特别需要高级设置，否则请使用推荐的设置。

源访问控制包含一个名为 Signing behavior（签名行为）（在控制台中）或 SigningBehavior（在 API、CLI 和 Amazon CloudFormation）的设置。此设置提供以下选项：

始终签署源请求（推荐设置）

我们建议使用此设置，此设置在控制台中名为签署请求（推荐），在 API、CLI 和 Amazon CloudFormation 中名为 always。使用此设置，CloudFront 将始终签署其发送到 MediaStore 源的所有请求。

切勿签署源请求

此设置在控制台中名为 Do not sign requests（请勿签署请求），在 API、CLI 和 Amazon CloudFormation 中名为 never。使用此设置关闭所有使用此源访问控制的分配中所有源的源访问控制。与从所有使用源访问控制的源和分配中逐一删除源访问控制相比，这可以节省时间和精力。使用此设置，CloudFront 不会签署其发送到 MediaStore 源的任何请求。

警告

要使用此设置，MediaStore 源必须可供公开访问。如果您将此设置用于不可公开访问的 MediaStore 源，则 CloudFront 无法访问该源。MediaStore 源向 CloudFront 返回错误，而 CloudFront 将这些错误传递给查看器。有关更多信息，请参阅通过 HTTPS 进行公有读取访问的 MediaStore 容器策略示例。

不要改写查看器（客户端）Authorization 标头

此设置在控制台中名为 Do not override authorization header（请勿改写授权标头），在 API、CLI 和 Amazon CloudFormation 中名为 no-override。如果您希望 CloudFront 仅在相应的查看器请求不包含 Authorization 标头时签署源请求，请使用此设置。使用此设置，CloudFront 会在查看器请求中存在 Authorization 标头时传递该标头，但在查看器请求不包含 Authorization 标头时对源请求进行签名（添加自己的 Authorization 标头）。

警告

要传递查看器请求的 Authorization 标头，您必须 针对所有使用与此源访问控制关联的 MediaStore 源的缓存行为将 Authorization 标头添加到缓存策略中。