Signierte URLs, signierte Cookies und Geoblocking

Standardmäßig stellt CloudFront Inhalte für jeden Viewer bereit, der die URL kennt. Bei Premium- oder privaten Inhalten – etwa Videokursen, kostenpflichtigen Software-Downloads oder Ressourcen nur für Mitglieder – müssen Sie den Zugriff beschränken, damit nur autorisierte Benutzer die Inhalte abrufen können.

CloudFront bietet zwei Mechanismen für den autorisierten Zugriff: signierte URLs (eine URL gewährt Zugriff auf ein bestimmtes Objekt) und signierte Cookies (eine Gruppe von Cookies gewährt Zugriff auf mehrere Objekte, die einem Pfadmuster entsprechen). Beide verwenden kryptografische Signaturen, die mit einem RSA-Schlüsselpaar erzeugt werden.

Eine Signatur-URL ist eine CloudFront-URL, die eine kryptografische Signatur enthält. Diese codiert eine Ablaufzeit und optional eine IP-Adressbeschränkung. Die URL ist nur bis zum Ablaufzeitpunkt und – sofern angegeben – nur von der zulässigen IP-Adresse aus gültig. Nach Ablauf gibt CloudFront einen 403-Fehler (Forbidden) zurück.

Signatur-URLs eignen sich besonders, um einem einzelnen Benutzer Zugriff auf eine bestimmte Datei zu gewähren (z. B. auf einen generierten PDF-Bericht), zeitlich begrenzte Download-Links bereitzustellen oder wenn der Client keine Cookies setzen kann (z. B. bei mobilen Apps oder RTMP-Streaming).

Signatur-Cookies funktionieren ähnlich wie Signatur-URLs, gewähren jedoch Zugriff auf mehrere Dateien, ohne jede einzelne URL zu ändern. Nach erfolgreicher Authentifizierung generiert Ihr Server drei Cookies (CloudFront-Policy, CloudFront-Signature, CloudFront-Key-Pair-Id) und setzt sie in der Browserantwort. Nachfolgende CloudFront-Anfragen dieses Browsers enthalten die Cookies und gewähren Zugriff auf alle passenden Inhalte.

Signatur-Cookies eignen sich besonders, um angemeldeten Benutzern Zugriff auf einen gesamten Premium-Bereich zu gewähren (z. B. auf alle Videos unter /members/*) oder wenn Sie das URL-Format der einzelnen Ressourcen nicht kontrollieren können.

Um CloudFront-Signaturen zu generieren, benötigen Sie ein CloudFront-Schlüsselpaar. Der moderne Ansatz verwendet Trusted Key Groups: Erstellen Sie ein RSA-Schlüsselpaar, laden Sie den öffentlichen Schlüssel zu CloudFront hoch, fügen Sie ihn einer Schlüsselgruppe hinzu und verknüpfen Sie die Schlüsselgruppe anschließend mit dem Cache-Verhalten, für das signierter Zugriff erforderlich ist.

Der private Schlüssel wird sicher auf Ihrem Signaturserver gespeichert (z. B. in Secrets Manager). Wenn sich ein Benutzer authentifiziert, verwendet der Server den privaten Schlüssel, um eine URL oder Cookie-Richtlinie zu signieren. CloudFront validiert die Signaturen mithilfe des zugehörigen öffentlichen Schlüssels in der vertrauenswürdigen Schlüsselgruppe.

Signatur-URLs können einen von zwei Richtlinientypen verwenden:

• Standardrichtlinie: einfachste Form – gibt nur eine Ressourcen-URL und eine Ablaufzeit an. Die Signatur ist kompakt und lässt sich einfach generieren.
• Benutzerdefinierte Richtlinie: flexibler – gibt eine Ressourcen-URL mit optionalen Platzhaltern an (https://d123.cloudfront.net/videos/*), eine optionale Startzeit (not-before) und optional eine IP-Adressbeschränkung. Das JSON der Richtlinie wird in der URL Base64-codiert.

Verwenden Sie Standardrichtlinien für einfache Links zu einzelnen Dateien und benutzerdefinierte Richtlinien, wenn Sie Ressourcen anhand von Platzhaltern zuordnen oder IP-basierte Beschränkungen benötigen.

Geografische Einschränkungen (auch geografische Beschränkungen genannt) blockieren oder erlauben die Bereitstellung von Inhalten durch CloudFront abhängig vom Land des Betrachters. CloudFront ermittelt das Land des Betrachters anhand seiner IP-Adresse mithilfe einer Geolokalisierungsdatenbank eines Drittanbieters.

Sie konfigurieren die geografische Einschränkung pro Distribution entweder als Allowlist (nur aufgeführte Länder können auf die Inhalte zugreifen) oder als Blocklist (aufgeführte Länder werden blockiert). Benutzer in eingeschränkten Ländern erhalten eine HTTP-403-Antwort. Die geografische Einschränkung ist ein grobes Werkzeug – sie gilt für die gesamte Distribution und nicht für einzelne Pfade.

Die geografische Einschränkung in CloudFront und das Geolocation-Routing in Route 53 verwenden beide geografische Informationen, dienen jedoch unterschiedlichen Zwecken:

• Geografische Einschränkung in CloudFront: blockiert oder erlaubt die Bereitstellung über Edge-Standorte auf der CDN-Ebene – blockierte Länder erhalten eine 403-Antwort; gilt pro Distribution
• Geolocation in Route 53: leitet DNS-Abfragen abhängig vom geografischen Standort an unterschiedliche Endpunkte weiter (andere Server oder Seiten) – blockiert den Zugriff nicht, sondern leitet zu anderen Inhalten oder einer anderen Infrastruktur weiter

Verwenden Sie die geografische Einschränkung in CloudFront zur Zugriffskontrolle, wenn Sie ganze Länder blockieren möchten. Verwenden Sie Geolocation in Route 53, um Benutzer zu regional passenden Inhalten oder Infrastrukturen weiterzuleiten.

Eine vollständige Architektur für die private Bereitstellung von Inhalten:

1. Der S3-Bucket ist privat (kein öffentlicher Zugriff)
2. CloudFront verwendet OAC, sodass nur die Distribution aus S3 lesen kann
3. Das Cache-Verhalten für private Inhalte erfordert Signatur-URLs oder -Cookies (eine Trusted Key Group ist verknüpft)
4. Ihr Anwendungsserver authentifiziert Benutzer und stellt Signatur-URLs bzw. -Cookies aus
5. Benutzer greifen nur über zeitlich begrenzte signierte CloudFront-URLs auf die Inhalte zu

Selbst wenn ein Benutzer die S3-URL errät oder weitergibt, wird der Zugriff blockiert. Gibt er die CloudFront-URL weiter, läuft sie nach der konfigurierten Zeit ab. Dieser mehrschichtige Ansatz bietet einen umfassenden Schutz für digitale Inhalte.

Verschlüsselung auf Feldebene ist eine fortgeschrittene CloudFront-Funktion, mit der vertrauliche Datenfelder in HTTP-POST-Anfragen am Edge verschlüsselt werden können, bevor die Anfrage an den Origin weitergeleitet wird. Selbst wenn der Origin-Server kompromittiert wird, bleiben die verschlüsselten Felder (z. B. Kreditkartennummern und Sozialversicherungsnummern) ohne den zugehörigen privaten Schlüssel unlesbar.

CloudFront verschlüsselt die angegebenen Felder am Edge mithilfe eines öffentlichen Schlüssels. Nur der vorgesehene Backend-Service mit dem passenden privaten Schlüssel kann die Daten entschlüsseln. Die Verschlüsselung auf Feldebene fügt einer bereits durch TLS geschützten Verarbeitungskette eine weitere Schutzebene hinzu.

Für dynamische Anwendungen, die über eine Zugriffskontrolle auf Länderebene hinaus eine fein abgestufte Zugriffskontrolle benötigen, ist tokenbasierter Zugriff mit Lambda@Edge ein gängiges Muster:

1. Der Benutzer authentifiziert sich bei Cognito oder Ihrem Authentifizierungsdienst und erhält ein JWT
2. Der Benutzer fügt das JWT als Abfrageparameter oder Cookie in CloudFront-Anfragen ein
3. Die Lambda@Edge-Funktion für Viewer-Request validiert die JWT-Signatur und die Claims
4. Wenn das JWT gültig ist, leitet Lambda@Edge die Anfrage an den Origin weiter; andernfalls wird 401 zurückgegeben

Damit erhalten Sie eine fein abgestufte Zugriffskontrolle pro Benutzer und Ressource vollständig am CloudFront-Edge, ohne bei nicht autorisierten Anfragen den Origin zu erreichen.

Typische Prüfungsszenarien für Signatur-URLs/-Cookies und geografische Einschränkungen:

• „Zeitlich begrenzter Download-Link für eine gekaufte Datei“ → Signatur-URL mit Ablaufzeit
• „Angemeldete Premium-Benutzer greifen auf alle Videos unter /premium/* zu“ → Signatur-Cookies mit Platzhalterrichtlinie
• „Zugriff für Benutzer in bestimmten Ländern aufgrund von Lizenzbestimmungen blockieren“ → CloudFront-Blocklist für geografische Einschränkungen
• „Unterschiedliche Inhalte für verschiedene Länder bereitstellen“ → Geolocation in Route 53 + mehrere Distributionen oder Origins
• „Kreditkartenfelder sogar vor Administratoren des Origins schützen“ → Verschlüsselung auf Feldebene

In dieser Lektion haben Sie gelernt: Signatur-URLs beschränken den Zugriff auf einzelne Dateien durch eine Ablaufzeit und eine optionale IP-Beschränkung, Signatur-Cookies gewähren Zugriff auf mehrere Dateien, die in einer einzelnen authentifizierten Sitzung einem Pfadmuster entsprechen, und geografische Einschränkungen blockieren oder erlauben ganze Länder auf Ebene der CloudFront-Distribution. Als Nächstes sehen wir uns CloudFront mit WAF und Lambda@Edge an.