Amazon S3上传文件访问限制

在 Amazon S3 中，直接通过 client ID 或类似的身份标识来限制访问并不是一个内置的功能。不过，您可以结合 AWS 的其他服务和功能来实现对特定终端或客户端的访问控制。以下是几种常见的方法：

1. 使用预签名 URL 和条件限制

AWS S3 预签名 URL 支持通过条件（Condition）来限制访问。虽然不能直接使用 client ID，但可以通过 IP 地址、请求头等条件来限制访问。

示例：通过 IP 地址限制访问

package main

import (
    "fmt"
    "time"

    "github.com/aws/aws-sdk-go/aws"
    "github.com/aws/aws-sdk-go/aws/session"
    "github.com/aws/aws-sdk-go/service/s3"
)

func generatePresignedURLWithIPRestriction(sess *session.Session, bucketName, key string, expiration time.Duration, allowedIP string) (string, error) {
    svc := s3.New(sess)

    req, _ := svc.GetObjectRequest(&s3.GetObjectInput{
        Bucket: aws.String(bucketName),
        Key:    aws.String(key),
    })

    // 设置条件，限制只能从指定 IP 访问
    conditions := []map[string]interface{}{
        {"IpAddress": map[string]string{"aws:SourceIp": allowedIP}},
    }

    // 生成带有条件的预签名 URL
    urlStr, err := req.Presign(expiration, func(req *s3.PresignRequest) {
        req.Conditions = conditions
    })
    if err != nil {
        return "", fmt.Errorf("failed to generate presigned URL with IP restriction: %v", err)
    }

    return urlStr, nil
}

func main() {
    // 创建一个新的会话
    sess, err := session.NewSession(&aws.Config{
        Region: aws.String("us-west-2"), // 替换为您的 S3 存储桶所在的区域
    })
    if err != nil {
        fmt.Println("Failed to create session:", err)
        return
    }

    bucketName := "your-bucket-name" // 替换为您的 S3 存储桶名称
    key := "path/to/your/image.png"  // 替换为您想要存储的对象键名

    // 生成预签名 URL，有效期为 15 分钟，并限制只能从指定 IP 访问
    expiration := 15 * time.Minute
    allowedIP := "192.168.1.0/24" // 替换为允许的 IP 范围
    presignedURL, err := generatePresignedURLWithIPRestriction(sess, bucketName, key, expiration, allowedIP)
    if err != nil {
        fmt.Println("Error generating presigned URL:", err)
        return
    }

    fmt.Printf("Presigned URL with IP restriction: %s\n", presignedURL)
}

2. 使用 AWS IAM 角色和策略

如果您有多个客户端应用，可以为每个客户端分配一个 AWS IAM 角色，并为这些角色定义不同的权限策略。这样，您可以通过客户端身份来控制访问权限。

步骤：

1. 创建 IAM 角色：为每个客户端创建一个 IAM 角色。
2. 定义策略：为每个角色定义一个策略，限制其对特定 S3 对象的访问权限。
3. 在客户端中使用临时凭证：客户端可以通过调用 AssumeRole API 获取临时安全凭证，并使用这些凭证访问 S3。

示例：客户端使用临时凭证访问 S3

package main

import (
    "fmt"
    "github.com/aws/aws-sdk-go/aws"
    "github.com/aws/aws-sdk-go/aws/credentials/stscreds"
    "github.com/aws/aws-sdk-go/aws/session"
    "github.com/aws/aws-sdk-go/service/s3"
    "github.com/aws/aws-sdk-go/service/sts"
)

func assumeRoleAndGetObject(sess *session.Session, roleArn string, bucketName string, key string) error {
    // 创建 STS 客户端
    stsSvc := sts.New(sess)

    // 假设角色获取临时凭证
    creds := stscreds.NewCredentials(sess, roleArn)

    // 创建 S3 客户端并使用临时凭证
    s3Svc := s3.New(sess, &aws.Config{Credentials: creds})

    // 获取对象
    result, err := s3Svc.GetObject(&s3.GetObjectInput{
        Bucket: aws.String(bucketName),
        Key:    aws.String(key),
    })
    if err != nil {
        return fmt.Errorf("failed to get object: %v", err)
    }
    defer result.Body.Close()

    fmt.Println("Object retrieved successfully")
    return nil
}

func main() {
    // 创建一个新的会话
    sess, err := session.NewSession(&aws.Config{
        Region: aws.String("us-west-2"), // 替换为您的 S3 存储桶所在的区域
    })
    if err != nil {
        fmt.Println("Failed to create session:", err)
        return
    }

    roleArn := "arn:aws:iam::account-id:role/YourClientRole" // 替换为您的 IAM 角色 ARN
    bucketName := "your-bucket-name"                         // 替换为您的 S3 存储桶名称
    key := "path/to/your/image.png"                          // 替换为您想要存储的对象键名

    // 假设角色并获取对象
    if err := assumeRoleAndGetObject(sess, roleArn, bucketName, key); err != nil {
        fmt.Println("Error assuming role and getting object:", err)
        return
    }
}

3. 使用自定义请求头进行验证

您可以通过设置自定义请求头并在预签名 URL 中添加条件来验证请求是否来自特定客户端。这种方法需要客户端在请求时添加特定的 HTTP 头。

示例：通过自定义请求头限制访问

package main

import (
    "fmt"
    "time"

    "github.com/aws/aws-sdk-go/aws"
    "github.com/aws/aws-sdk-go/aws/session"
    "github.com/aws/aws-sdk-go/service/s3"
)

func generatePresignedURLWithCustomHeader(sess *session.Session, bucketName, key string, expiration time.Duration, customHeaderKey, customHeaderValue string) (string, error) {
    svc := s3.New(sess)

    req, _ := svc.GetObjectRequest(&s3.GetObjectInput{
        Bucket: aws.String(bucketName),
        Key:    aws.String(key),
    })

    // 设置条件，限制必须包含特定的自定义请求头
    conditions := []map[string]interface{}{
        {"StringEquals": map[string]string{"x-amz-meta-" + customHeaderKey: customHeaderValue}},
    }

    // 生成带有条件的预签名 URL
    urlStr, err := req.Presign(expiration, func(req *s3.PresignRequest) {
        req.Conditions = conditions
    })
    if err != nil {
        return "", fmt.Errorf("failed to generate presigned URL with custom header restriction: %v", err)
    }

    return urlStr, nil
}

func main() {
    // 创建一个新的会话
    sess, err := session.NewSession(&aws.Config{
        Region: aws.String("us-west-2"), // 替换为您的 S3 存储桶所在的区域
    })
    if err != nil {
        fmt.Println("Failed to create session:", err)
        return
    }

    bucketName := "your-bucket-name" // 替换为您的 S3 存储桶名称
    key := "path/to/your/image.png"  // 替换为您想要存储的对象键名

    // 生成预签名 URL，有效期为 15 分钟，并限制必须包含特定的自定义请求头
    expiration := 15 * time.Minute
    customHeaderKey := "clientid"
    customHeaderValue := "your-client-id" // 替换为您的客户端 ID
    presignedURL, err := generatePresignedURLWithCustomHeader(sess, bucketName, key, expiration, customHeaderKey, customHeaderValue)
    if err != nil {
        fmt.Println("Error generating presigned URL:", err)
        return
    }

    fmt.Printf("Presigned URL with custom header restriction: %s\n", presignedURL)
}

总结

1. 预签名 URL 和条件限制：

   • 可以通过 IP 地址、请求头等条件来限制访问。
   • 适用于需要临时访问权限且能控制请求来源的场景。

2. AWS IAM 角色和策略：

   • 通过为每个客户端分配不同的 IAM 角色和策略，实现细粒度的访问控制。
   • 适用于有多个客户端应用且需要长期访问权限的场景。

3. 自定义请求头验证：

   • 通过在预签名 URL 中添加条件，要求请求必须包含特定的自定义请求头。
   • 适用于需要通过客户端标识符来控制访问的场景。

根据您的具体需求选择合适的方法，或者组合使用多种方法以达到最佳效果。如果有更多问题或需要进一步的帮助，请随时提问！