Amazon S3：特定のリファラーのためだけに、特定のパスへのアクセスを許可する方法は？

Question

私はAmazon S3バケットmybucketを持っていて、特定のネストされたフォルダ（またはS3用語では特定の「接頭辞」）のコンテンツへのアクセスのみを有効にしたいと考えています。

次のS3バケットポリシーを試しましたが、機能しません。条件を追加した後、私はブラウザでアクセス拒否エラーを取得し始めました。

{ 
    "Version": "2012-10-17", 
    "Id": "Policy for mybucket", 
    "Statement": [ 
     { 
      "Sid": "Allow access to public content only from my.domain.com", 
      "Effect": "Allow", 
      "Principal": "*", 
      "Action": "s3:GetObject", 
      "Resource": "arn:aws:s3:::mybucket/public/content/*", 
      "Condition": { 
       "StringLike": { 
        "aws:Referer": [ 
         "http://my.domain.com/*" 
        ] 
       } 
      } 
     } 
    ] 
} 

これを達成するためにポリシーはどのように見えるのですか？

Answer 1

ポリシーを2つのステートメントに分割する必要があります。フォルダ（接頭辞）へのアクセスを許可する1つと、参照者がホワイトリストにあるドメインの1つではない場合にアクセスを拒否するアクセス許可1つ：

{ 
    "Version": "2012-10-17", 
    "Id": "Policy for mybucket", 
    "Statement": [ 
     { 
      "Sid": "Allow access to public content", 
      "Effect": "Allow", 
      "Principal": "*", 
      "Action": "s3:GetObject", 
      "Resource": "arn:aws:s3:::mybucket/public/content/*" 
     }, 
     { 
      "Sid": "Deny access to public content when not on my.domain.com", 
      "Effect": "Deny", 
      "Principal": "*", 
      "Action": "s3:GetObject", 
      "Resource": "arn:aws:s3:::mybucket/public/content/*", 
      "Condition": { 
       "StringNotLike": { 
        "aws:Referer": [ 
         "http://my.domain.com/*" 
        ] 
       } 
      } 
     } 
    ] 
}