在私有暂存域名上为负载均衡器设置CloudFront

43次阅读

问题描述

拥有一个名为 foobar-staging.com 的域名，用于暂存环境，以便在发布到生产环境之前进行反馈、测试或演示。最近，他决定将 UI 静态文件部署到 S3，并将其他所有内容回退到 ALB。原始设置仅可私有访问，因此用户必须连接到 VPN 才能访问 foobar-staging.com。根据目前的测试，CloudFront 的内容源必须是公共的，因此似乎我无法保持暂存服务器私有，除非有人告诉我有其他方法？

他希望在私有环境中访问的是：

域名 > CloudFront > S3（/routeX、/routeY）或 ALB（其他路由 /*）

EC2 实例只有私有 IP，而 ELB 安全组不允许公共访问。他已经允许了 80/443 端口对 0.0.0.0/16 的访问，以便查看 CloudFront 在设置中的工作情况…虽然他不一定需要 CloudFront（其他替代方法也可以，因为他不能在 ALB 中路由到 S3），但如果没有 CloudFront 放在 S3 和 ALB 前面，他只能通过 S3 Amazon 域名访问 UI 应用程序，而他更愿意使用 foobar-staging.com。

他想知道是否可能实现这一点。

解决方案

请注意以下操作注意版本差异及修改前做好备份。

方案1：使用 CloudFront 和签名 Cookie

基于签名 Cookie 的解决方案可以实现私有访问需求。用户可以为 CloudFront 设置签名 Cookie，以便在访问时验证权限。以下是实现步骤：
1. 阅读并了解 Amazon CloudFront 签名 Cookie 的实现方式。
2. 创建一个 Lambda 函数，用于处理签名 Cookie。您可以参考这个示例进行基本实现。
3. 确保您将 CloudFront 中的内容源设置为 S3 和 ALB。
4. 在 CloudFront 的行为设置中，选择 “Restrict Viewer Access (Use Signed URLs or Signed Cookies)”，以便只允许携带有效签名 Cookie 的请求访问。

方案2：使用自定义脚本控制访问顺序

另一种方法是使用自定义脚本来控制访问顺序，使得 CloudFront 只能在满足特定条件时将请求转发到 S3 或 ALB。以下是一个简单的示例脚本：

#!/bin/bash
# 使用 curl 请求 CloudFront，携带签名 Cookie
response=$(curl -s -o /dev/null -w "%{http_code}" -H "Cookie: your_signed_cookie=your_cookie_value" https://your_cloudfront_domain.com/routeX)
# 根据返回状态码判断是否转发请求到 S3 或 ALB
if [ "$response" -eq 200 ]; then
    # 请求转发到 S3
    curl https://your_cloudfront_domain.com/routeX
else
    # 请求转发到 ALB
    curl https://your_cloudfront_domain.com/other_routes
fi

在上述示例中，脚本首先使用 curl 请求 CloudFront，携带签名 Cookie，并检查返回的状态码。根据状态码，脚本将请求转发到 S3 或 ALB。