签名 URL、签名 Cookie 与地理限制

默认情况下，CloudFront 会向任何知道 URL 的查看者提供内容。对于高级或私有内容（视频课程、付费软件下载、仅限会员的资源），您需要限制访问，确保只有获得授权的用户才能检索这些内容。

CloudFront 提供两种授权访问机制：签名 URL（一个 URL 授予对某个特定对象的访问权限）和签名 Cookie（一组 Cookie 授予对匹配某个路径模式的多个对象的访问权限）。这两种机制都使用通过 RSA 密钥对生成的加密签名。

签名网址是包含加密签名的 CloudFront 网址，其中编码了到期时间以及可选的IP 地址限制。该网址只有在到期时间之前有效，并且只能从允许的 IP 地址访问（如果指定了 IP 限制）。到期后，CloudFront 会返回 403 Forbidden。

签名网址最适合以下场景：向单个用户授予某个特定文件的访问权限（例如生成的 PDF 报告）、提供有时效限制的下载链接，或者客户端无法设置 Cookie 时（例如移动应用或 RTMP 流式传输）。

签名 Cookie的工作方式与签名网址类似，但无需更改每个网址即可授予对多个文件的访问权限。用户通过身份验证后，您的服务器会生成三个 Cookie（CloudFront-Policy、CloudFront-Signature、CloudFront-Key-Pair-Id），并将其设置在浏览器响应中。之后，该浏览器向 CloudFront 发出的请求会包含这些 Cookie，从而获得对所有匹配内容的访问权限。

签名 Cookie 最适合以下场景：向已登录用户授予整个高级内容专区的访问权限（例如 /members/* 中的所有视频），或者您无法控制每个独立资源的网址格式时。

要生成 CloudFront 签名，您需要一个CloudFront 密钥对。现代方法是使用可信密钥组：创建一个 RSA 密钥对，将公钥上传到 CloudFront，将其添加到密钥组，然后将该密钥组关联到需要签名访问的缓存行为。

私钥会安全地存储在签名服务器上（例如存储在 Secrets Manager 中）。用户通过身份验证后，服务器使用私钥为网址或 Cookie 策略签名。CloudFront 使用可信密钥组中对应的公钥验证签名。

签名网址可以使用以下两种策略类型之一：

• 简易策略：最简单的形式，只指定资源网址和到期时间。签名体积小，易于生成。
• 自定义策略：更加灵活，可以指定带有可选通配符的资源网址（https://d123.cloudfront.net/videos/*）、可选的开始时间（不早于），以及可选的 IP 地址限制。策略 JSON 会在网址中进行 Base64 编码。

对于简单的单文件链接，请使用简易策略；需要匹配通配符资源或基于 IP 的限制时，请使用自定义策略。

地理限制（也称为地理区域限制）根据查看者所在的国家/地区，阻止或允许 CloudFront 提供内容。CloudFront 会使用第三方地理位置数据库，根据查看者的 IP 地址确定其所在国家/地区。

您可以针对每个分配配置地理限制，将其设置为允许列表（只有列出的国家/地区可以访问内容）或阻止列表（阻止列出的国家/地区）。受限国家/地区的用户会收到 HTTP 403 响应。地理限制是一种较为粗略的工具——它适用于整个分配，而不是单独的路径。

CloudFront 地理限制和 Route 53 地理位置路由都使用地理信息，但用途不同：

• CloudFront 地理限制：在 CDN 层阻止或允许内容进行边缘提供，向被阻止的国家/地区返回 403；按分配应用
• Route 53 地理位置路由：根据地理位置将 DNS 查询路由到不同的终端节点（不同的服务器或页面），不会阻止访问，而是将用户重定向到不同的内容或基础设施

如果要进行访问控制（阻止整个国家/地区），请使用 CloudFront 地理限制；如果要将用户路由到适合其所在区域的内容或基础设施，请使用 Route 53 地理位置路由。

完整的私有内容分发架构如下：

1. S3 存储桶为私有（不允许公共访问）
2. CloudFront 使用 OAC，因此只有该分配可以从 S3 读取内容
3. 私有内容的缓存行为要求使用签名网址或签名 Cookie（已关联可信密钥组）
4. 您的应用程序服务器对用户进行身份验证，并签发签名网址或签名 Cookie
5. 用户只能通过具有时效限制的 CloudFront 签名网址访问内容

即使用户猜到或分享了 S3 网址，访问仍会被阻止。即使他们分享了 CloudFront 网址，该网址也会在配置的时间后过期。这种分层方法为数字内容提供了纵深防御。

字段级加密是 CloudFront 的一项高级功能，允许在将 HTTP POST 请求转发到源站之前，在边缘位置对其中的敏感数据字段进行加密。即使源站服务器遭到入侵，加密字段（例如信用卡号和 SSN）在没有对应私钥的情况下仍然无法读取。

CloudFront 会在边缘位置使用公钥加密指定字段。只有拥有匹配私钥的目标后端服务才能解密数据。字段级加密在已有 TLS 保护的处理流程中增加了一层防护。

对于需要超越国家/地区级阻止功能、实现细粒度访问控制的动态应用程序，一种常见模式是使用 Lambda@Edge 进行基于令牌的访问控制：

1. 用户通过 Cognito 或您的身份验证服务进行身份验证，并获得 JWT
2. 用户在向 CloudFront 发出的请求中，将 JWT 作为查询参数或 Cookie 携带
3. Lambda@Edge Viewer-Request 函数验证 JWT 的签名和声明
4. 如果有效，Lambda@Edge 会将请求转发到源站；如果无效，则返回 401

这样可以完全在 CloudFront 边缘位置实现针对每个用户和每个资源的细粒度访问控制，无需让未经授权的请求到达源站。

签名网址/签名 Cookie 和地理限制的考试场景模式：

• “购买文件的有时效下载链接” → 带到期时间的签名网址
• “已登录的高级用户访问 /premium/* 中的所有视频” → 带通配符策略的签名 Cookie
• “由于许可限制，阻止特定国家/地区的用户访问” → CloudFront 地理限制阻止列表
• “向不同国家/地区提供不同内容” → Route 53 地理位置路由 + 多个分配或源站
• “即使源站管理员也无法查看信用卡字段” → 字段级加密

请测试您对本课 AWS Solutions Architect（SAA-C03）概念的理解。

在本课中，您学习了以下内容：签名网址通过到期时间和可选的 IP 限制来限制对单个文件的访问；签名 Cookie 在单次经过身份验证的会话中，授予对匹配路径模式的多个文件的访问权限；地理限制则在 CloudFront 分配级别阻止或允许整个国家/地区。接下来，我们将学习 CloudFront 与 WAF 和 Lambda@Edge 的结合使用。