按产品分类浏览文章
CloudFront为S3静态网站加速时候的CORS配置

一、背景

CORS的全称是Cross-Origin Resource Sharing,是浏览器跨站访问的技术规范。在使用S3静态托管时候,如果网页中的调用使用了CORS,那么需要为S3和CloudFront增加对应策略,才可以正常加载内容。

2025-08-25    
使用CloudFront+S3提供静态网站Hosting

本文介绍了搭建一个纯静态网站过程中,如何使用S3非公开桶提供存储,使用CloudFront+OAI对外发布,并使用CloudFront Function进行默认页跳转。

一、背景-使用S3直接提供静态网站的挑战

S3提供静态网站Hosting的方式,是官方使用S3提供网站托管的推荐主要方式,此时是直接对外暴露S3存储桶的,也就是必须将S3存储桶设置为Public可见。如果本AWS账户内仅有一个S3存储并配置为公开,可能问题不大。但是对于大部分企业用户,尤其是混合多种业务数据管理的场景、一个账号内有许多存储桶,将存储桶设置为Public会遇到安全挑战的问题。

2025-08-19    
使用Amazon Bedrock Inference Profile结合Tag实现模型调用费用分拆

一、背景

Amazon Bedrock Inference Profile功能是2024年底推出的一项功能,在诞生之初,主要用于实现跨Region推理,而通过给Profile增加Tag的方式,即可实现费用追踪。

2025-07-09    
为Amazon Workmail配置自动发现Auto Discover

一、背景

在配置邮件客户端的过程中,连接邮箱时除了输入域名、用户名、密码之外,通常需要手工填写收发邮件的服务器地址。此时如果打开了Auto Discover也就是自动发现功能,就能无需手工输入,邮件客户端将自动识别服务器地址,大大简化了配置过程。目前电脑上在用的邮件客户端、手机上的邮件客户端都具备自动发现功能。

当使用Amazon Workmail提供邮箱服务的时候,默认是不开启Auto Discover功能的,需要手工配置。本文介绍如何配置。

2025-06-20    
如何为Amazon Workmail启用MFA双因素认证

本文介绍如何为Amazon Workmail启用IAM Identity Center并开启MFA多因素认证。

一、背景

Amazon Workmail邮件系统自身有内部的目录服务,可用于用户数量较少的快速部署和使用。在此时登录界面上是不支持配置MFA的。即便点击Workmail的设置图标,在其中也无法找到开启MFA的选项。这是由于Amazon Workmail内置的目录认证服务是不支持MFA的。

为了开启MFA,需要将Amazon Workmail配置为使用IAM Identity Center服务(以前叫做AWS Single Sign-On即SSO,以下简称IdC服务),并在IdC服务中管理用户和分组。此时在IdC服务中,可以设置用户第一次登录时候必须强制绑定MFA,即可满足安全合规要求。IdC服务支持主流的软件MFA,例如Microsoft Authenticator,Google Authenticator等手机APP,也支持硬件形式的USB Token。

下面开始配置。

2025-06-09    
SageMaker Studio SSO 效果演示

SageMaker Studio 对多用户并行开发的权限管理方式之一,是可以与企业现有单点认证系统对接,然后每个企业目录的用户就可以直接对应到一个SageMaker Studio内的Notebook。在这种对接方式下,SageMaker Studio首先与IAM Identity Center(IdC)集成,然后使用 External Source 连接外部的Identity Source,即可实现第三方SSO对接。

本文使用OKTA作为第三方SSO平台,演示SageMaker Studio对接使用体验。请参考视频。

另外,在不使用SageMaker Studio的情况下,还可以将AWS Console控制台配置直接对接到企业的SSO。此时配置方式是使用IAM内置的Identity Provider功能,对接到企业自有SSO。

本文使用OKTA作为第三方SSO平台,演示AWS Console的SSO对接体验。请参考视频。

2025-06-06    
关于S3系统是否满足“被动式”系统以及无法运行可执行文件的合规性问题描述

在一些信息系统审计中,可能会被要求提交“S3存储是一个被动式系统”、“S3不会主动向外发起网络连接”、“S3不会执行存储的可执行文件”等证明资料。建议通过S3合规性最佳实践进行系统的解答。

2025-05-14    
MCP系列:启动你的第一个MCP Server并与之交互

本文展示了一个MCP Server和Client的运行交互过程,通过Step-by-step的打印日志,帮助理解MCP是如何工作的。本文引用的代码参考文中的Github链接。

2025-04-20    
使用NLB或GWLB搭建多VPC的Traffic Mirror流量采集架构

一、背景

在上一篇博客《使用VPC Traffic Mirror功能进行流量审计》中,我们介绍了使用VPC Traffic Mirror采集7层访问日志,不过采集架构局限在单VPC、单EC2。

那么如何构建一个跨VPC、多VPC、跨账号专门的日志采集架构?本文解答这一需求的设计。

2025-03-12    
使用VPC Traffic Mirror功能进行流量审计

一、背景

1、使用Traffic Mirror的场景

对于简单的网络流量采集需求,可以使用VPC Flowlog功能,之前这篇博客介绍了VPC Flowlog的使用。不过VPC Flowlog也有局限,主要是仅记录OSI模型的第四层的日志信息,也就是所谓的“五元组”,即源地址、源端口、目标地址、目标端口、协议这五要素,很多时候不能满足日志需求。

如果需求进一步增加要求如下日志能力:

  • 7层流量采集,记录域名、HTTP header等
  • 旁路方式,不影响流量
  • 相对低成本
  • 不希望使用复杂的Network Firewall或者第三方NGFW+Gateway Load Balancer方案

以上需求场景,适合使用VPC Traffic Mirror实现。

2025-03-10