Распределение CloudFront использует OAI (Origin Access Identity) для доступа к частному бакету S3. Бакет запрещает доступ всем остальным. Приложение требует, чтобы пользователи просматривали общедоступную страницу входа, а затем получали подписанные куки для доступа к частным каталогам. Распределение использует поведение кэша по умолчанию с ограниченным доступом для просмотра, указывающим на источник S3. Доступ к странице входа возвращает ошибку 403 Forbidden. Как разработчик может разрешить неаутентифицированный доступ к странице входа, сохраняя при этом конфиденциальность частного контента?

Правильный ответ — добавить второе поведение кэша с шаблоном пути, соответствующим странице входа, и установить для него неограниченный доступ для просмотра. CloudFront обрабатывает запросы, сопоставляя их с шаблонами пути поведения кэша в порядке их приоритета. Создав отдельное поведение кэша для страницы входа с неограниченным доступом, запросы к этой странице будут обрабатываться без требования OAI, позволяя неаутентифицированный доступ. Поведение кэша по умолчанию останется неизменным, обеспечивая защиту частного контента. Неправильные варианты: Изменение поведения кэша по умолчанию на неограниченный доступ для страницы входа и использование шаблона пути для другого поведения кэша с ограниченным доступом не сработает, так как поведение по умолчанию должно быть последним в порядке обработки и не может иметь шаблон пути . Добавление резервного источника не решает проблему доступа, поскольку резервные источники используются при сбое основного, а не для управления правами доступа. Изменение политики бакета S3 для предоставления прямого доступа к объекту страницы входа и использование функции CloudFront для перенаправления не является оптимальным решением, так как это обходит CloudFront для страницы входа и усложняет архитектуру без необходимости. CloudFront должен управлять доступом.