Amazon CloudFront vs. S3 -> ограничение доступа по домену?

Question

На Amazon S3 вы можете ограничить доступ к ведрам по домену.

Но насколько я понимаю из полезного пользователя StackOverflow, вы не можете сделать это на CloudFront. Но почему? Если я прав, CloudFront разрешает только ограничения по времени или ограничения IP (-> поэтому мне нужно знать IP-адреса случайных посетителей.?) Или я что-то упускаю?

Вот цитата из S3 документации, которая предполагает, что для каждого домена ограничение возможно:

---> "Для того, чтобы разрешить доступ на чтение к этим объектам с вашего сайта, вы можете добавить политику ковша, что позволяет s3 : GetObject с условием, используя ключ aws: referer, запрос на получение должен происходить из определенных веб-страниц. "

-> Есть ли способ сделать этот метод работать и с CloudFront? Или почему что-то подобное не доступно на CloudFront?

-> Есть ли аналогичная услуга, где это возможно, проще в настройке?

Answer 1

Использование CloudFront вместе с WAF (брандмауэром веб-приложений) позволяет ограничить запросы на основе IP-адреса, источников или доменов.

Вот учебник блога AWS по ограничению «hotlinking».

https://blogs.aws.amazon.com/security/post/Tx2CSKIBS7EP1I5/How-to-Prevent-Hotlinking-by-Using-AWS-WAF-Amazon-CloudFront-and-Referer-Checkin

В этом примере, он запрещает запросы, где заголовок Referrer: не совпадает конкретный домен.