CloudFront 流量DTO的阶梯价格测算表

如今，随着传统企业的数字化转型越来越普遍，大量企业内部应用技术栈全面互联网化，许多企业的应用系统已经突破了传统的VPN内网概念，转而在互联网上运行。企业日常运营产生各种流程文档、数据文件、日志等需要被分发给员工和第三方合作伙伴。这种场景下如何能有保护地企业私有内容的安全分发，就成为了企业数字化转型的安全关键。

使用WAF检查Referer Header对外部引用进行干预

一、背景

在CloudFront的控制台上，提供了一个TOP Refer的报表，这个报表用于显示本站的用户来源是来自哪个原始网站。这个机制是如何工作的呢？

假设如下的场景：

主网站名为 https://www.abc.com/index.html
图片的域名为 https://image.abc.com/image01.png

当客户端浏览器打开主网站时候，浏览器会向图片域名image.abc.com服务器的发送一个图片访问请求，并包含一个特殊的HTTP Header名为Referer。Referer Header的内容就是之前所在页面的域名，即www.abc.com。因此，图片服务器只需要检查Referer域名，即可获知引用此图片的原始网址。Referer Header可以被WEB应用服务器获取，并在应用层代码做判断。更高效的办法，是从客户访问前端的CloudFront和WAF上进行干预，来判断是否是合法的引用。

需要注意的是：检查Referer并不能完全阻断所谓的“盗链”和非法链接，因为攻击者可以简单去构造Referer Header来模拟一个正常请求。所以实施Referer检查的意义是可以避免图片等素材被其他网址的浏览器简单引用，可减少由此产生的外部流量等问题。如果需要100%的阻止外部访问且必须所有资源都经过身份验证，请参考CloudFront Signature签名功能。

下边介绍如何通过WAF检查Referer Header。

将CloudFront对S3源站的访问授权从原有的OAI切换为最新的OAC

一、背景

CloudFront对S3源站保护功能之前采用源访问身份Origin Access Identity（简称OAI）机制。由于OAI的权限管理颗粒度较粗，且不支持需要AWS Signature V4签名的POST方法，不支持SSE-KMS集成等。由于这一系列的局限，2022年起被新的源访问控制功能Origin Access Control (OAC)所取代。

本文讲述如何切换配置。需要注意的是，对生产环境修改配置可能导致访问失效，请务必提前做好技术储备和测试，生产环境谨慎调整。

CloudFront签名Signed-URL和Signed-Cookie演示

如视频。（有解说，请调整音量）

从CloudFront获取客户端真实IP地址、并使用CloudFront内置的IP地址库获取访问者所在国家

本文更新于2024年3月。

一、背景

CloudFront CDN服务是七层代理服务，接受最终用户的客户端连接和访问，并终结客户端的网络访问通道。然后，CloudFront会通过互联网回源站获取要分发的内容。此时，在后端的源站是无法获知客户端的真实IP地址的，源站只能看到CloudFront的公网IP地址。这样对于源站应用而言，不能准确的判断来访者所在地区和国家，无法实行不同国家的运营策略。本文介绍在CloudFront背后的源站如何能获取客户端的真实IP地址、以及访问者所在国家。

开启 AWS CloudFront CDN加速服务的HTTP3/QUIC协议支持

本文更新于2023年9月。

AWS Global全球区域的CloudFront在2022年8月正式宣布了HTTP3协议的支持。参考AWS官网链接。

那么HTTP3和QUIC是什么，又如何使用呢？

AWS WAF已经为Java Spring漏洞提供防护

请参考AWS Managed Rules changelog 更新日志：

https://docs.aws.amazon.com/waf/latest/developerguide/aws-managed-rule-groups-changelog.html

Known bad inputs managed rule group 规则组说明：

https://docs.aws.amazon.com/waf/latest/developerguide/aws-managed-rule-groups-baseline.html#aws-managed-rule-groups-baseline-known-bad-inputs

S	M	T	W	T	F	S
					1	2
3	4	5	6	7	8	9
10	11	12	13	14	15	16
17	18	19	20	21	22	23
24	25	26	27	28	29	30

一、背景

1、关于CloudFront日志种类

Level 100

Level 200

Level 300

一、背景

一、背景

一、背景

一、背景

一、背景

1、传统企业与内容分发

一、背景

一、背景

一、背景