Restricción del acceso a un origen de Amazon Simple Storage Service

CloudFront proporciona dos formas de enviar solicitudes autenticadas a un origen de Amazon S3: control de acceso de origen (OAC) e identidad de acceso de origen (OAI). OAC lo ayuda a proteger sus orígenes, como en el caso de Amazon S3. Recomendamos usar OAC porque admite:

La identidad de acceso de origen (OAI) no funciona en los escenarios de la lista anterior o requiere soluciones adicionales en esos escenarios. En los temas siguientes se describe cómo utilizar el control de acceso de origen (OAC) con un origen de Amazon S3. Para obtener información sobre cómo migrar de la identidad de acceso de origen (OAI) al control de acceso de origen (OAC), consulte Migración de la identidad de acceso de origen (OAI) al control de acceso de origen (OAC).

Temas

Creación de un nuevo control de acceso de origen

Complete los pasos que se describen en los siguientes temas para configurar un nuevo control de acceso de origen en CloudFront.

Requisitos previos

Antes de crear y configurar el control de acceso de origen (OAC), debe tener una distribución de CloudFront con un bucket de origen de Amazon S3. Este origen debe ser un bucket S3 normal, no un bucket configurado como punto de conexión de sitio web. Para obtener más información sobre la configuración de una distribución de CloudFront con un origen de bucket de S3, consulte Introducción a una distribución de CloudFront básica.

Concesión del permiso de control de acceso de origen para acceder al bucket de S3

Antes de crear un control de acceso de origen (OAC) o configurarlo en una distribución de CloudFront, asegúrese de que el OAC tiene permiso para acceder al origen del bucket de S3. Realice esta acción después de crear una distribución de CloudFront, pero antes de agregar el OAC al origen de S3 en la configuración de distribución.

Para conceder al OAC permiso con el fin de acceder al bucket de S3, utilice una política de bucket de S3 para permitir que la entidad principal del servicio CloudFront (cloudfront.amazonaws.com) acceda al bucket. Utilice un elemento Condition en la política para permitir que CloudFront acceda al bucket solo cuando la solicitud sea en nombre de la distribución de CloudFront que contiene el origen de S3.

Para obtener información sobre cómo agregar o modificar una política de bucket, consulte Agregar una política de bucket mediante la consola de Amazon S3 en la Guía del usuario de Amazon S3.

A continuación se muestran ejemplos de políticas de bucket de S3 que permiten a un OAC de CloudFront acceder a un origen de S3.

{
    "Version": "2012-10-17",
    "Statement": {
        "Sid": "AllowCloudFrontServicePrincipalReadOnly",
        "Effect": "Allow",
        "Principal": {
            "Service": "cloudfront.amazonaws.com"
        },
        "Action": "s3:GetObject",
        "Resource": "arn:aws:s3:::<S3 bucket name>/*",
        "Condition": {
            "StringEquals": {
                "AWS:SourceArn": "arn:aws:cloudfront::111122223333:distribution/<CloudFront distribution ID>"
            }
        }
    }
}

{
    "Version": "2012-10-17",
    "Statement": {
        "Sid": "AllowCloudFrontServicePrincipalReadWrite",
        "Effect": "Allow",
        "Principal": {
            "Service": "cloudfront.amazonaws.com"
        },
        "Action": [
            "s3:GetObject",
            "s3:PutObject"
        ],
        "Resource": "arn:aws:s3:::<S3 bucket name>/*",
        "Condition": {
            "StringEquals": {
                "AWS:SourceArn": "arn:aws:cloudfront::111122223333:distribution/<CloudFront distribution ID>"
            }
        }
    }
}

SSE-KMS

Si los objetos del origen de bucket de S3 están cifrados mediante el cifrado en el servidor con AWS Key Management Service (SSE-KMS), debe asegurarse de que el OAC tiene permiso para utilizar la clave AWS KMS. Para dar permiso al OAC para utilizar la clave KMS, agregue una declaración a la política de claves de KMS. Para obtener información sobre cómo modificar una política de claves, consulte Modificación de una política de claves en la Guía del desarrollador de AWS Key Management Service.

En el siguiente ejemplo se muestra una declaración de política de claves de KMS que permite al OAC utilizar la clave de KMS.

{
    "Sid": "AllowCloudFrontServicePrincipalSSE-KMS",
    "Effect": "Allow",
    "Principal": {
        "Service": [
            "cloudfront.amazonaws.com"
        ]
     },
    "Action": [
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:GenerateDataKey*"
    ],
    "Resource": "*",
    "Condition": {
            "StringEquals": {
                "AWS:SourceArn": "arn:aws:cloudfront::111122223333:distribution/<CloudFront distribution ID>"
            }
        }
}

Creación del control de acceso de origen

Para crear un control de acceso de origen (OAC), puede utilizar la AWS Management Console, AWS CloudFormation, la AWS CLI o la API de CloudFront.

Eliminación de una distribución con un OAC adjunto a un bucket de S3

Si necesita eliminar una distribución con un OAC adjunto a un bucket de S3, debe eliminarla antes de eliminar el origen del bucket de S3. También puede incluir la región en el nombre de dominio de origen. Si no es posible, puede eliminar el OAC de la distribución mediante el cambio a público antes de la eliminación. Para obtener más información, consulte Eliminación de una distribución de .

Migración de la identidad de acceso de origen (OAI) al control de acceso de origen (OAC)

Para migrar de una identidad de acceso de origen (OAI) heredada a un control de acceso de origen (OAC), actualice primero el origen del bucket de S3 para permitir que tanto la OAI como el OAC accedan al contenido del bucket. De este modo se garantiza que CloudFront nunca pierda el acceso al bucket durante la transición. Para permitir que tanto OAI como OAC accedan a un bucket de S3, actualice la política de buckets para incluir dos declaraciones, una para cada tipo de entidad principal.

El siguiente ejemplo de política de buckets de S3 permite que tanto una OAI como un OAC accedan a un origen de S3.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCloudFrontServicePrincipalReadOnly",
            "Effect": "Allow",
            "Principal": {
                "Service": "cloudfront.amazonaws.com"
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::<S3 bucket name>/*",
            "Condition": {
                "StringEquals": {
                    "AWS:SourceArn": "arn:aws:cloudfront::111122223333:distribution/<CloudFront distribution ID>"
                }
            }
        },
        {
            "Sid": "AllowLegacyOAIReadOnly",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::cloudfront:user/CloudFront Origin Access Identity <origin access identity ID>"
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::<S3 bucket name>/*"
        }
    ]
}

Después de actualizar la política de buckets del origen de S3 para permitir el acceso tanto a OAI como a OAC, puede actualizar la configuración de la distribución para utilizar OAC en lugar de OAI. Para obtener más información, consulte Creación de un nuevo control de acceso de origen.

Una vez implementada por completo la distribución, puede eliminar la declaración de la política de buckets que permite el acceso a la OAI. Para obtener más información, consulte Concesión del permiso de control de acceso de origen para acceder al bucket de S3.

Configuración avanzada para el control de acceso de origen

La característica de control de acceso de origen de CloudFront incluye configuraciones avanzadas que están pensadas solo para casos de uso específicos. Utilice la configuración recomendada a menos que tenga una necesidad específica de la configuración avanzada.

El control de acceso de origen contiene una configuración denominada Signing behavior (Comportamiento de firma) (en la consola) o SigningBehavior (en la API, CLI y AWS CloudFormation). Esta configuración proporciona las siguientes opciones:

Uso de una identidad de acceso de origen (heredado, no recomendado)

"Principal": {
    "AWS": "arn:aws:iam::cloudfront:user/CloudFront Origin Access Identity <origin access identity ID>"
}

{
    "Version": "2012-10-17",
    "Id": "PolicyForCloudFrontPrivateContent",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::cloudfront:user/CloudFront Origin Access Identity <origin access identity ID>"
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::<S3 bucket name>/*"
        }
    ]
}

{
    "Version": "2012-10-17",
    "Id": "PolicyForCloudFrontPrivateContent",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::cloudfront:user/CloudFront Origin Access Identity <origin access identity ID>"
            },
            "Action": [
                "s3:GetObject",
                "s3:PutObject"
            ],
            "Resource": "arn:aws:s3:::<S3 bucket name>/*"
        }
    ]
}