开始使用Python的安全AWS CloudFront流

Question

我创建了一个S3 bucket，上传了一个视频，在CloudFront中创建了一个流媒体分发。用一个静态的HTML播放器测试了它，它工作了。我已经通过帐户设置创建了一个密钥对。我现在桌面上有私钥文件。我就在那里。

我的目标是让我的Django/Python站点创建安全的url，人们不能访问这些视频，除非它们来自我的某个页面。问题是我对亚马逊的布局方式过敏，我只是越来越困惑。

我知道这不是StackOverflow上最好的问题，但我肯定我不是这里唯一一个不能确定如何设置安全CloudFront/S3环境的傻瓜。我真的很感谢你的帮助，我愿意（两天之后）给一个500磅的奖金给最好的答案。

我有几个问题，一经回答，应该可以用一个解释来解释如何完成我所追求的目标：

• 在文档中（下一点有一个例子），有很多XML在告诉我需要把东西放到不同的地方。是否有一个在线控制台来执行此操作？或者我真的要通过卷曲来强迫它（等等）？

• 如何为CloudFront创建源访问标识并将其绑定到我的发行版？我读过this document但是，第一点，我不知道该怎么办。我的钥匙对怎么配这个？

• 完成后，如何限制S3 bucket只允许人们通过该身份下载内容？如果这是另一个XML jobby，而不是单击web UI，请告诉我应该在哪里以及如何将它放入我的帐户。

• 在Python中，为文件生成过期URL的最简单方法是什么。我已经安装了boto，但是我不知道如何从流媒体分发中获取文件。

• 有没有任何应用程序或脚本可以采取的困难，设置这个装束？我用的是Ubuntu（Linux），但如果只是Windows的话，我在VM中有XP。我已经看过CloudBerry S3 Explorer Pro了，但是它和在线UI一样有意义。

Answer 1

In Python, what's the easiest way of generating an expiring URL for a file. I have boto installed but I don't see how to get a file from a streaming distribution.

可以为资源生成过期的签名URL。Boto3文档有一个nice example solution用于：

import datetime

from cryptography.hazmat.backends import default_backend
from cryptography.hazmat.primitives import hashes
from cryptography.hazmat.primitives import serialization
from cryptography.hazmat.primitives.asymmetric import padding
from botocore.signers import CloudFrontSigner


def rsa_signer(message):
    with open('path/to/key.pem', 'rb') as key_file:
        private_key = serialization.load_pem_private_key(
            key_file.read(), 
            password=None,
            backend=default_backend()
        )
    signer = private_key.signer(padding.PKCS1v15(), hashes.SHA1())
    signer.update(message)
    return signer.finalize()

key_id = 'AKIAIOSFODNN7EXAMPLE'
url = 'http://d2949o5mkkp72v.cloudfront.net/hello.txt'
expire_date = datetime.datetime(2017, 1, 1)

cloudfront_signer = CloudFrontSigner(key_id, rsa_signer)

# Create a signed url that will be valid until the specfic expiry date
# provided using a canned policy.
signed_url = cloudfront_signer.generate_presigned_url(
    url, date_less_than=expire_date)
print(signed_url)