CloudFront — настройка «Доступ к S3-корзине»

Поддержка
1

Здравствуйте,

Я создал бакет S3 в регионе us-west-1, расположенном рядом с моим сервером в Phoenix NAP. Однако, так как я нахожусь в Великобритании, я хотел бы настроить работающую дистрибуцию CloudFront для этого бакета S3 для узлов как в Северной Америке, так и в Европе.

При настройке дистрибуции я столкнулся с параметром доступа к бакету, который предлагал три варианта:

  • public (публичный)
  • OAC (Origin Access Control — контроль доступа к источнику)
  • OAI (Origin Access Identity — идентификация доступа к источнику)
Вариант OAC предупредил, что

IMG_7220
IMG_72201206×849 225 KB

мне следует дополнительно изменить шаблон политики S3 для Discourse, чтобы он работал с CloudFront.

Однако вариант OAI не сработал в моём случае, потому что

он, похоже, перезаписал политику бакета следующим содержимым

IMG_7219
IMG_72191206×2622 196 KB

Является ли OAC разумным вариантом, и есть ли у кого-нибудь рекомендации относительно JSON-политики?

3

Учитывая, что OAC поддерживает SSE-KMS,

и реализация требует от администратора вручную изменять политику ведра S3, я не понимаю, зачем AWS это требуется?

JSON-политика, о которой я говорил, относится к IAM. Однако, похоже, что политика ведра S3 здесь не имеет значения?