限制通过IP访问CloudFront

Question

我想限制对某些 IP 的存储桶访问。我通过限制访问特定 IP 地址了解如何创建存储桶策略。

我的问题：这可以与 CloudFront 一起使用吗？如何？我可以只允许某些 IP 访问 CloudFront 吗？

Answer 1

Web 应用程序防火墙是您的朋友。

http://docs.aws.amazon.com/waf/latest/developerguide/web-acl-ip-conditions.html

使用您的 IP 地址创建规则，其余的“WAF”将负责。

您需要将其应用到所需的 CloudFront 发行版。

您可以将存储桶策略限制为 CloudFront，并通过 CloudFront 限制为您所需的 IP。

Answer 2

我已经创建了自定义规则来将 IP 列入白名单，并通过以下步骤限制使用 CloudFront 分发的应用程序。

步骤：

1. 转到 AWS WAF。

2. 在IP 地址下创建以下 IP 匹配条件。

   1. staging-appname-whitelist-ips

3. 在Rules下创建以下规则。

   1. staging-appname-ui-stack-whitelisted-ips
      • 有条件（与生产一类似）
4. 最后创建以下Web ACL：
   1. staging-appname-acl
      • 请选择正确的 CloudFront Distribution、上面创建的 Rule 和 IP Address 组。 *。

AWS 资源此处。

希望有帮助！

Answer 3

使用cloudfront lambda或函数判断X-Forwarded-For Header

Answer 4

如果您需要将来自特定国家/地区的所有 IP 列入黑名单，您也可以使用

CloudFront geographic restrictions

。您不会获得相同的粒度报告，但它比 WAF 便宜得多。