Подписанные URL, подписанные файлы cookie и географические ограничения

По умолчанию CloudFront предоставляет содержимое любому пользователю, знающему URL. Для платного или закрытого содержимого — видеокурсов, платных загрузок программного обеспечения и ресурсов только для участников — необходимо ограничить доступ, чтобы получать его могли только авторизованные пользователи.

CloudFront предоставляет два механизма авторизованного доступа: подписанные URL (один URL предоставляет доступ к одному определённому объекту) и подписанные файлы cookie (набор файлов cookie предоставляет доступ к нескольким объектам, соответствующим шаблону пути). Оба механизма используют криптографические подписи, созданные с помощью пары ключей RSA.

Подписанный URL — это URL CloudFront, содержащий криптографическую подпись с закодированным сроком действия и, при необходимости, ограничением по IP-адресу. URL действителен только до истечения срока действия и только с разрешённого IP-адреса, если он указан. После истечения срока действия CloudFront возвращает ошибку 403 Forbidden.

Подписанные URL лучше всего подходят для предоставления одному пользователю доступа к одному конкретному файлу (например, созданному отчёту в формате PDF), создания ссылок на скачивание с ограниченным сроком действия или случаев, когда клиент не может устанавливать файлы cookie (например, мобильные приложения или потоковая передача RTMP).

Подписанные файлы cookie работают аналогично подписанным URL, но предоставляют доступ к нескольким файлам без изменения каждого URL. После успешной аутентификации сервер создаёт три файла cookie (CloudFront-Policy, CloudFront-Signature, CloudFront-Key-Pair-Id) и добавляет их в ответ браузеру. Последующие запросы из этого браузера к CloudFront содержат эти файлы cookie, предоставляя доступ ко всему соответствующему содержимому.

Подписанные файлы cookie лучше всего подходят для предоставления авторизованным пользователям доступа ко всему разделу с платным содержимым (например, ко всем видео в /members/*) или когда Вы не можете управлять форматом URL каждого отдельного ресурса.

Для создания подписей CloudFront необходима пара ключей CloudFront. Современный подход использует доверенные группы ключей: создайте пару ключей RSA, загрузите открытый ключ в CloudFront, добавьте его в группу ключей, а затем свяжите группу ключей с поведением кэширования, для которого требуется подписанный доступ.

Закрытый ключ надёжно хранится (например, в Secrets Manager) на сервере, создающем подписи. Когда пользователь проходит аутентификацию, сервер использует закрытый ключ для подписания политики URL или файла cookie. CloudFront проверяет подписи с помощью соответствующего открытого ключа из доверенной группы ключей.

Подписанные URL могут использовать один из двух типов политик:

• Стандартная политика: простейшая форма, содержащая только URL ресурса и срок действия. Подпись получается компактной и легко создаётся.
• Пользовательская политика: более гибкая форма, содержащая URL ресурса с необязательными подстановочными символами (https://d123.cloudfront.net/videos/*), необязательное время начала действия и, при необходимости, ограничение по IP-адресу. JSON политики кодируется в URL с помощью Base64.

Используйте стандартные политики для простых ссылок на отдельные файлы, а пользовательские — когда требуется сопоставление ресурсов по подстановочным символам или ограничения по IP-адресам.

Географическое ограничение (также называемое географическими ограничениями) блокирует или разрешает выдачу содержимого CloudFront в зависимости от страны пользователя. CloudFront определяет страну пользователя по его IP-адресу с помощью сторонней базы данных геолокации.

Вы настраиваете географическое ограничение для каждого распределения как список разрешённых стран (доступ к содержимому имеют только указанные страны) или список заблокированных стран (указанные страны блокируются). Пользователи из ограниченных стран получают ответ HTTP 403. Географическое ограничение — грубый инструмент: оно применяется ко всему распределению, а не к отдельным путям.

Географические ограничения CloudFront и геомаршрутизация Route 53 используют географию, но служат разным целям:

• Географические ограничения CloudFront: блокируют или разрешают выдачу на периферии на уровне CDN — заблокированным странам возвращается ответ 403; применяются к каждому распределению
• Геомаршрутизация Route 53: направляет запросы DNS к разным конечным точкам (разным серверам или страницам) в зависимости от географии — не блокирует доступ, а перенаправляет к другому содержимому или другой инфраструктуре

Используйте географические ограничения CloudFront для управления доступом (блокировки целых стран), а геомаршрутизацию Route 53 — для направления пользователей к содержимому или инфраструктуре, подходящим для их региона.

Полная архитектура доставки частного содержимого:

1. Бакет S3 является частным (публичный доступ отсутствует)
2. CloudFront использует OAC, поэтому только распределение может читать данные из S3
3. Для поведения кэширования частного содержимого требуются подписанные URL или файлы cookie (связанная доверенная группа ключей)
4. Сервер приложения аутентифицирует пользователей и выдаёт подписанные URL или файлы cookie
5. Пользователи получают доступ к содержимому только через подписанные URL CloudFront с ограниченным сроком действия

Даже если пользователь угадает URL S3 или поделится им, доступ будет заблокирован. Даже если он поделится URL CloudFront, срок его действия истечёт через настроенное время. Такой многоуровневый подход обеспечивает эшелонированную защиту цифрового содержимого.

Шифрование на уровне полей — это расширенная функция CloudFront, позволяющая шифровать конфиденциальные поля в HTTP-запросах POST на периферии перед их передачей на исходный сервер. Даже если исходный сервер будет взломан, зашифрованные поля (например, номера банковских карт и номера SSN) останутся нечитаемыми без соответствующего закрытого ключа.

CloudFront шифрует указанные поля на периферии с помощью открытого ключа. Расшифровать данные может только предназначенная для этого внутренняя служба с соответствующим закрытым ключом. Шифрование на уровне полей добавляет уровень защиты в уже защищённый с помощью TLS конвейер.

Для динамических приложений, которым требуется детальное управление доступом помимо блокировки на уровне стран, часто используется следующий шаблон: управление доступом на основе токенов с помощью Lambda@Edge:

1. Пользователь проходит аутентификацию через Cognito или Вашу службу аутентификации и получает JWT
2. Пользователь добавляет JWT в качестве параметра запроса или файла cookie к запросам CloudFront
3. Функция Viewer-Request Lambda@Edge проверяет подпись и утверждения JWT
4. Если данные действительны, Lambda@Edge передаёт запрос исходному серверу; если нет — возвращает ошибку 401

Это обеспечивает детальное управление доступом для каждого пользователя и каждого ресурса непосредственно на периферии CloudFront, без обращения к исходному серверу для неавторизованных запросов.

Типовые экзаменационные сценарии для подписанных URL, файлов cookie и географических ограничений:

• «Ссылка на скачивание приобретённого файла с ограниченным сроком действия» → Подписанный URL со сроком действия
• «Авторизованные пользователи получают доступ ко всем видео в /premium/*» → Подписанные файлы cookie с политикой подстановочных символов
• «Заблокировать доступ пользователям из определённых стран из-за лицензионных ограничений» → список заблокированных стран в географическом ограничении CloudFront
• «Показывать разное содержимое пользователям из разных стран» → геомаршрутизация Route 53 + несколько распределений или исходных серверов
• «Защитить поля банковской карты даже от администраторов исходного сервера» → шифрование на уровне полей

Проверьте своё понимание концепций AWS Solutions Architect (SAA-C03) из этого урока.

В этом уроке Вы узнали, что подписанные URL ограничивают доступ к отдельным файлам с учётом срока действия и необязательного ограничения по IP-адресу, подписанные файлы cookie предоставляют доступ к нескольким файлам, соответствующим шаблону пути, в рамках одного аутентифицированного сеанса, а географические ограничения блокируют или разрешают доступ целым странам на уровне распределения CloudFront. Далее мы рассмотрим CloudFront вместе с WAF и Lambda@Edge.