CloudFront OAC与OAI对比：私有访问与源站治理

概览

• OAI 使用旧机制关联分发到 S3 私有桶；OAC 通过签名请求到任何源站，更灵活与安全。

技术参数（已验证）

• OAI：与 S3 建立信任；源站为 S3；配置较旧且受限。
• OAC：在边缘对源站签名并验证；支持任意源；与签名 URL/Cookie 协同。
• 迁移：从 OAI 迁移到 OAC；保持私有访问并简化多源配置。
• 安全：密钥管理与轮换；记录签名失败与异常；控制授权范围。
• 观测：记录命中与拒绝；在看板上可视化。

实战清单

• 新项目优先 OAC；旧项目评估迁移；统一密钥与策略。
• 在源站上开启签名验证与审计；在异常时回退。
• 文档化配置与迁移步骤；保障安全与可用性。