Référenceur de stratégie de compartiment Amazon S3

Question

J'essaie de modifier ma configuration de compartiment S3 de sorte que les sites tiers ne puissent pas lier le contenu. En outre, un avantage supplémentaire est qu'ils peuvent seulement accéder au contenu de mon domaine plutôt que le supplément s3bucket.amazon-east.amazonaws.com ou quelque chose à cet effet.

La documentation a un exemple exactement pour cela mais quand j'ai copié/collé/modifié pour mon site Web ci-dessous cela ne fonctionne pas? Je reçois toujours 403 erreurs. Quand je retire seulement la section conditionnelle, cela permet un accès complet, donc il n'y a qu'un problème avec la section référant.

C'est un morceau de code tellement court que je me tape la tête contre le mur ... en espérant qu'un second jeu d'yeux pourrait m'éclairer sur quelque chose qui est probablement évident que j'ai disparu?

Sinon, il pourrait ne pas y avoir quelque chose de mal à cela et il pourrait y avoir des configurations supplémentaires ailleurs que je n'ai pas défini/considéré?

Merci d'avoir lu.

{ 
    "Version": "2008-10-17", 
    "Statement": [ 
     { 
      "Sid": "fml", 
      "Effect": "Allow", 
      "Principal": "*", 
      "Action": "s3:GetObject", 
      "Resource": "arn:aws:s3:::www.mysite.com/*", 
      "Condition": { 
       "StringLike": { 
        "aws:Referer": [ 
         "http://mysite.com/*", 
         "http://www.mysite.com/*" 
        ] 
       } 
      } 
     } 
    ] 
} 

Answer 1

La journalisation est-elle activée pour votre compartiment? Si vous le faites, vous pouvez vérifier les journaux pour vérifier qu'un référent est connecté avec les messages 403 Accès refusé et que c'est ce que vous attendez. Si ce n'est pas le cas, le problème n'est pas lié à la configuration du bucket - c'est une question de savoir pourquoi le referer n'est pas envoyé par le navigateur.

Si la journalisation n'est pas activée, activez la journalisation.

Un avantage supplémentaire est qu'ils peuvent seulement accéder au contenu de mon domaine plutôt que le s3bucket.amazon-east.amazonaws.com supplémentaire ou quelque chose à cet effet.

Qu'est-ce qui vous fait penser que ce serait vrai?

Answer 2

Il est important de noter que si votre référant inclut/* à la fin, il autorisera uniquement le contenu provenant des enfants de ce référant, mais pas de ce référent lui-même.

Donc, si vous voulez inclure votre domaine principal ainsi, alors vous devez le faire comme ceci:

   "aws:Referer": [ 
        "http://example.com", 
        "http://example.com/*", 
        "http://www.example.com", 
        "http://www.example.com/*" 
       ]