Мы делаем так для discourse.bokeh.org, и это работает отлично. Предлагаю настроить для CDN более понятное доменное имя, чем стандартное бессмысленное имя AWS (например, мы используем discourse-uploads.bokeh.org).
Спасибо, Брайан (и @Stephen), я настроил новый бакет точно так, как вы советовали. Теперь я только подбираю правильные настройки. 