CloudFront签名URL与签名Cookie治理

概览

• 使用签名 URL 或签名 Cookie 控制资源访问时间窗口、IP 范围与路径匹配。
• 通过密钥组（Key Group）管理公钥并在分配中引用，实现密钥轮换与多应用隔离。
• 与源鉴权（OAC/OAI）协同，防止绕过 CDN 直接访问源站。

技术参数（已验证）

• URL/Cookie：策略包含 Resource、DateLessThan、可选 IPRange 与路径通配；客户端携带 Key-Pair-Id 与签名。
• 密钥组：在分配中绑定 Key Group；轮换时保留新旧公钥的过渡期并更新生成端私钥。
• 源鉴权：优先使用 OAC；旧方案为 OAI；在 S3 源上限制公开访问并只允许来自分配的请求。
• 缓存：签名维度影响缓存键；在分配与源配置中治理缓存与授权头传递。
• 审计：记录签名验证失败、过期与来源 IP；建立告警与轮换台账。

实战清单

• 为私有内容选择 URL 或 Cookie 方案；定义策略窗口与范围并生成签名。
• 绑定密钥组并实施轮换；与 OAC/OAI 配合防止源绕过。
• 观测验证失败与过期情况；调整缓存与授权头策略。
• Importance: 以签名与源鉴权联合治理私有内容访问的安全与体验。