如何使用我的 CloudFront 分配限制对 Amazon S3 存储桶的访问？

1. 打开 CloudFront 控制台。
2. 从分配列表中，选择用于从要限制访问的 S3 存储桶中提供内容的分配。
3. 选择源选项卡。
4. 选择 S3 源，然后选择 Edit（编辑）。
5. 对于 Origin Access（来源访问），选择 Origin access control settings (recommended)（来源访问控制设置(推荐)）。
6. 对于 Origin access control（来源访问控制），选择现有 OAC，或选择 Create Control（创建控制）设置。
7. 在对话框中，命名您的控制设置。最佳实践是保留默认设置签署请求（推荐）。然后，选择创建。
8. 对于 S3 存储桶访问，在 S3 存储桶上应用存储桶策略。选择复制策略，然后选择【保存】。
9. 选择转至 S3 存储桶权限，将您带到 S3 存储桶控制台。
10. 选择保存更改。
11. 在 Amazon S3 控制台中，从您的存储桶列表中，选择作为 CloudFront 分配源的存储桶。
12. 选择权限选项卡。
13. 在存储桶策略下，确认您看到类似于以下内容的语句：

{
    "Version": "2008-10-17",
    "Id": "PolicyForCloudFrontPrivateContent",
    "Statement": [
        {
            "Sid": "AllowCloudFrontServicePrincipal",
            "Effect": "Allow",
            "Principal": {
                "Service": "cloudfront.amazonaws.com"
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::your_bucket_name/*",
            "Condition": {
                "StringEquals": {
                    "AWS:SourceArn": "arn:aws:cloudfront::xxxxxxxx:distribution/YYYYYYYY"
                }
            }
        }
    ]
}

Related :

1. https://repost.aws/zh-Hans/knowledge-center/cloudfront-access-to-amazon-s3
2. https://aws.amazon.com/pm/serv-s3