Podpisane adresy URL, podpisane pliki cookie i ograniczenia geograficzne

Domyślnie CloudFront udostępnia treści każdemu odbiorcy, który zna adres URL. W przypadku treści premium lub prywatnych — kursów wideo, płatnych plików do pobrania i zasobów dostępnych tylko dla członków — należy ograniczyć dostęp, aby mogli je pobierać wyłącznie upoważnieni użytkownicy.

CloudFront udostępnia dwa mechanizmy autoryzowanego dostępu: Signed URLs (jeden adres URL zapewnia dostęp do jednego konkretnego obiektu) oraz Signed Cookies (zestaw plików cookie zapewnia dostęp do wielu obiektów pasujących do wzorca ścieżki). Oba mechanizmy wykorzystują podpisy kryptograficzne generowane za pomocą pary kluczy RSA.

Podpisany adres URL to adres URL CloudFront zawierający podpis kryptograficzny, w którym zakodowano czas wygaśnięcia oraz opcjonalnie ograniczenie adresu IP. Adres URL jest ważny tylko do upływu określonego czasu i tylko z dozwolonego adresu IP (jeśli go określono). Po wygaśnięciu CloudFront zwraca błąd 403 Forbidden.

Podpisane adresy URL najlepiej sprawdzają się w przypadku: przyznawania pojedynczemu użytkownikowi dostępu do konkretnego pliku (np. wygenerowanego raportu PDF), ograniczonych czasowo linków do pobierania lub sytuacji, gdy klient nie może ustawiać ciasteczek (np. aplikacje mobilne albo strumieniowanie RTMP).

Do generowania podpisów CloudFront potrzebna jest para kluczy CloudFront. Nowoczesne podejście wykorzystuje zaufane grupy kluczy: należy utworzyć parę kluczy RSA, przesłać klucz publiczny do CloudFront, dodać go do grupy kluczy, a następnie powiązać tę grupę z zachowaniem pamięci podręcznej, które wymaga dostępu na podstawie podpisu.

Klucz prywatny jest bezpiecznie przechowywany (np. w Secrets Manager) na serwerze podpisującym. Gdy użytkownik zostanie uwierzytelniony, serwer używa klucza prywatnego do podpisania adresu URL lub zasad dotyczących ciasteczek. CloudFront weryfikuje podpisy za pomocą odpowiedniego klucza publicznego znajdującego się w zaufanej grupie kluczy.

Aby generować podpisy CloudFront, potrzebują Państwo pary kluczy CloudFront. Nowoczesne podejście wykorzystuje zaufane grupy kluczy: należy utworzyć parę kluczy RSA, przesłać klucz publiczny do CloudFront, dodać go do grupy kluczy, a następnie powiązać grupę kluczy z zachowaniem pamięci podręcznej wymagającym dostępu z podpisem.

Klucz prywatny jest bezpiecznie przechowywany (np. w Secrets Manager) na serwerze podpisującym. Gdy użytkownik się uwierzytelni, serwer używa klucza prywatnego do podpisania adresu URL lub zasad pliku cookie. CloudFront weryfikuje podpisy za pomocą odpowiadającego im klucza publicznego w zaufanej grupie kluczy.

Podpisane adresy URL mogą korzystać z jednego z dwóch typów zasad:

• Zasada gotowa: najprostsza forma — określa tylko adres URL zasobu i czas wygaśnięcia. Podpis jest niewielki i łatwy do wygenerowania.
• Zasada niestandardowa: bardziej elastyczna — określa adres URL zasobu z opcjonalnymi symbolami wieloznacznymi (https://d123.cloudfront.net/videos/*), opcjonalnym czasem rozpoczęcia (not-before) oraz opcjonalnym ograniczeniem adresu IP. Kod JSON zasad jest kodowany w adresie URL za pomocą Base64.

Zasad gotowych należy używać w przypadku prostych linków do pojedynczych plików, a zasad niestandardowych — gdy potrzebne jest dopasowywanie zasobów za pomocą symboli wieloznacznych lub ograniczenia na podstawie adresu IP.

Ograniczenie geograficzne (nazywane również ograniczeniami geograficznymi) blokuje lub zezwala na udostępnianie treści przez CloudFront na podstawie kraju, w którym znajduje się osoba wyświetlająca treść. CloudFront określa kraj użytkownika na podstawie jego adresu IP, korzystając z zewnętrznej bazy danych geolokalizacyjnych.

Ograniczenie geograficzne konfiguruje się dla całej dystrybucji jako lista dozwolonych (dostęp do treści mają tylko wymienione kraje) albo lista zablokowanych (wymienione kraje są blokowane). Użytkownicy z ograniczonych krajów otrzymują odpowiedź HTTP 403. Ograniczenie geograficzne jest narzędziem o szerokim działaniu — dotyczy całej dystrybucji, a nie pojedynczych ścieżek.

Ograniczenie geograficzne CloudFront i routing geolokalizacyjny Route 53 wykorzystują informacje geograficzne, ale służą do różnych celów:

• Ograniczenie geograficzne CloudFront: blokuje lub zezwala na udostępnianie treści z lokalizacji brzegowych na poziomie CDN — zwraca kod 403 zablokowanym krajom; jest stosowane dla całej dystrybucji
• Geolokalizacja Route 53: kieruje zapytania DNS do różnych punktów końcowych (innych serwerów lub stron) na podstawie lokalizacji geograficznej — nie blokuje dostępu, lecz kieruje użytkownika do innych treści lub infrastruktury

Ograniczenia geograficznego CloudFront należy używać do kontroli dostępu (blokowania całych krajów), a geolokalizacji Route 53 — do kierowania użytkowników do treści lub infrastruktury odpowiednich dla danego regionu.

Kompletna architektura prywatnego dostarczania treści:

1. Wiadro S3 jest prywatne (brak dostępu publicznego)
2. CloudFront używa OAC, dzięki czemu tylko dystrybucja może odczytywać dane z S3
3. Zachowanie pamięci podręcznej dla prywatnych treści wymaga podpisanych adresów URL lub ciasteczek (z powiązaną zaufaną grupą kluczy)
4. Serwer aplikacji uwierzytelnia użytkowników i wystawia podpisane adresy URL lub ciasteczka
5. Użytkownicy uzyskują dostęp do treści wyłącznie za pośrednictwem podpisanych adresów URL CloudFront z ograniczonym czasem ważności

Nawet jeśli użytkownik odgadnie adres URL S3 lub udostępni go innej osobie, dostęp zostanie zablokowany. Jeśli udostępni adres URL CloudFront, wygaśnie on po skonfigurowanym czasie. Takie warstwowe podejście zapewnia wielopoziomową ochronę treści cyfrowych.

Szyfrowanie na poziomie pól to zaawansowana funkcja CloudFront, która umożliwia szyfrowanie wrażliwych pól w żądaniach HTTP POST na brzegu sieci, przed przekazaniem ich do źródła. Nawet jeśli serwer źródłowy zostanie zaatakowany, zaszyfrowane pola (np. numery kart kredytowych lub numery SSN) pozostają nieczytelne bez odpowiedniego klucza prywatnego.

CloudFront szyfruje określone pola na brzegu sieci za pomocą klucza publicznego. Tylko docelowa usługa backendowa posiadająca odpowiadający mu klucz prywatny może odszyfrować dane. Szyfrowanie na poziomie pól dodaje warstwę ochrony w ramach potoku, który jest już zabezpieczony przez TLS.

W przypadku aplikacji dynamicznych, które wymagają szczegółowej kontroli dostępu wykraczającej poza blokowanie na poziomie krajów, często stosuje się dostęp oparty na tokenach z użyciem Lambda@Edge:

1. Użytkownik uwierzytelnia się za pomocą Cognito lub usługi uwierzytelniania i otrzymuje JWT
2. Użytkownik dołącza JWT jako parametr zapytania lub ciasteczko do żądań CloudFront
3. Funkcja Viewer-Request Lambda@Edge weryfikuje podpis i deklaracje JWT
4. Jeśli token jest prawidłowy, Lambda@Edge przekazuje żądanie do źródła; jeśli jest nieprawidłowy, zwraca kod 401

Zapewnia to szczegółową kontrolę dostępu dla każdego użytkownika i zasobu bezpośrednio na brzegu CloudFront, bez docierania do źródła w przypadku nieautoryzowanych żądań.

Typowe scenariusze egzaminacyjne dotyczące podpisanych adresów URL/ciasteczek i ograniczeń geograficznych:

• „Ograniczony czasowo link do pobrania zakupionego pliku” → podpisany adres URL z czasem wygaśnięcia
• „Zalogowani użytkownicy premium mają dostęp do wszystkich filmów w /premium/*” → podpisane ciasteczka z zasadą wykorzystującą symbol wieloznaczny
• „Zablokowanie dostępu użytkownikom z określonych krajów ze względu na licencję” → lista zablokowanych w ramach ograniczenia geograficznego CloudFront
• „Udostępnianie różnych treści w różnych krajach” → geolokalizacja Route 53 + wiele dystrybucji lub źródeł
• „Ochrona pól kart kredytowych nawet przed administratorami źródła” → szyfrowanie na poziomie pól

Sprawdź swoją znajomość zagadnień AWS Solutions Architect (SAA-C03) omówionych w tej lekcji.

W tej lekcji nauczyli się Państwo, że: podpisane adresy URL ograniczają dostęp do pojedynczych plików za pomocą czasu wygaśnięcia i opcjonalnego ograniczenia adresu IP, podpisane ciasteczka zapewniają dostęp do wielu plików pasujących do wzorca ścieżki w ramach jednej uwierzytelnionej sesji, a ograniczenie geograficzne blokuje lub zezwala na dostęp całym krajom na poziomie dystrybucji CloudFront. W następnej części omówimy CloudFront razem z WAF i Lambda@Edge.