AWS S3 Bucket 权限管理
内容提要
AWS S3权限管理复杂，创建Bucket时可使用域名映射避免配置。配置ACL控制其他AWS账户写入权限，私有Bucket一般不开启。开启公开访问权限需关闭阻止公开访问限制。配置Bucket权限策略允许所有人访问指定路径资源。通过Cloudflare获取Bucket资源URL，配置CNAME至Cloudflare的DNS。使用CloudFront CDN配置自定义域名访问，导入SSL证书，创建CloudFront分配，添加备用域名与SSL证书。配置CNAME至Cloudflare。
延伸解读
权限配置的先后顺序
文章强调S3权限管理需系统性认知，并给出了明确的步骤顺序：先创建Bucket，再配置ACL所有权，接着调整公共访问设置，最后配置Bucket策略。这个顺序不能错，因为公共访问设置是后续所有外部访问的前提，若未关闭阻止公开访问，即使策略允许也无法生效。
公开访问的风险与策略范围
开启公开访问需关闭阻止公开访问限制并勾选风险提示，这意味着Bucket内资源可能被任何人访问。文章提供的策略示例仅允许所有人对指定路径执行s3:GetObject，即只读权限，且资源ARN限定在特定Bucket下。这种最小化授权可降低误开放写入或删除权限的风险。
自定义域名的两种路径
若Bucket资源URL符合https://s3.{区域}.amazonaws.com/{域名}/{对象}格式，可直接在Cloudflare配置CNAME指向该区域端点。若不符合，则需通过CloudFront分配，并导入us-east-1区域的SSL证书，添加备用域名和证书，再将CNAME指向CloudFront域名。两种路径的选择取决于URL格式。
CloudFront配置的关键限制
使用CloudFront时，SSL证书必须导入到美国东部（弗吉尼亚北部）us-east-1区域，否则无法在CloudFront中使用。创建分配时需关闭WAF，并添加备用域名及对应SSL证书，否则无法通过自定义域名访问。这些限制是配置成功的关键，忽略可能导致访问失败。
Q&A
如何创建AWS S3 Bucket并避免复杂配置？
在创建Bucket时，将Bucket名称添加为可能的域名映射，例如s3.example.com，可以避免复杂的配置。
AWS S3的ACL如何控制权限？
ACL用于控制其他AWS账户是否能够写入此Bucket，通常私有Bucket不应开启此选项。
如何开启AWS S3 Bucket的公开访问权限？
需要关闭阻止所有公开访问的限制，并勾选风险提示，才能成功开启公开访问权限。
如何配置AWS S3 Bucket的权限策略？
在Bucket详情页的权限配置中，编辑存储桶策略，允许所有人访问指定路径资源。
如何通过Cloudflare获取AWS S3 Bucket的资源URL？
上传文件后，通过文件链接获取URL，并配置CNAME至Cloudflare的DNS即可。
使用CloudFront CDN配置自定义域名访问的步骤是什么？
需要导入SSL证书，创建CloudFront分配，添加备用域名与SSL证书，然后在Cloudflare中配置CNAME。
