阻止S3访问叙利亚，伊朗，苏丹等国的IP

Question

您是否知道任何允许我阻止访问特定国家/地区的S3文件的存储桶策略？

Answer 1

虽然您可以使用S3存储桶策略阻止特定的IP范围，但是无法列出此策略中指定的特定国家/地区的所有IP范围，因为AWS对策略的大小施加了20KB的限制。

  

存储分区策略的大小限制为20千字节 - 如果您拥有大量对象和用​​户，则您的存储分区策略可能会达到20K大小限制。

（来自http://docs.aws.amazon.com/AmazonS3/latest/dev/WhenToUseACLvsBucketPolicy.html）

更好的解决方案是将S3存储桶配置为使用签名请求（查询字符串身份验证），如下所述：

http://docs.aws.amazon.com/AmazonS3/latest/dev/RESTAuthentication.html#RESTAuthenticationQueryStringAuth

并拥有一个单独的Web服务，该服务使用地理定位服务检查客户端的IP，并仅向符合条件的客户发出这些签名请求。

Answer 2

Amazon CloudFront添加地理限制功能。看看http://aws.amazon.com/about-aws/whats-new/2013/12/18/amazon-cloudfront-adds-geo-restriction-feature/