amazon-s3 - 阻止 S3 访问来自叙利亚、伊朗、苏丹等国的 IP

Question

您是否知道任何允许我阻止从特定国家访问 S3 文件的存储桶策略？

Answer 1

Amazon CloudFront Adds Geo Restriction Feature. Take a look at http://aws.amazon.com/about-aws/whats-new/2013/12/18/amazon-cloudfront-adds-geo-restriction-feature/

Answer 2

尽管您可以使用 S3 存储桶策略阻止特定 IP 范围，但无法在此策略中列出从特定国家/地区分配的所有 IP 范围，因为 AWS 对策略的大小施加了 20KB 的限制。

存储桶策略的大小限制为 20 KB — 如果您有大量对象和用​​户，您的存储桶策略可能会达到 20K 大小限制。

（来自http://docs.aws.amazon.com/AmazonS3/latest/dev/WhenToUseACLvsBucketPolicy.html）

解决您的问题的更好方法是将您的 S3 存储桶配置为使用签名请求（查询字符串身份验证），如下所述：

http://docs.aws.amazon.com/AmazonS3/latest/dev/RESTAuthentication.html#RESTAuthenticationQueryStringAuth

并拥有一个单独的 Web 服务，该服务使用地理定位服务检查客户端的 IP，并且仅向符合您的条件的客户端发出这些签名请求。