CloudFrontのOACアクセス利用したS3アクセスをクロスアカウントでアクセスしてみた

はじめに

データレイクとして別AWSアカウントに配置してるデータに、OACを使ってCloudFrontからアクセスする検証をしてみました。

準備

S3バケットを【パブリックアクセスをすべて ブロック】で作成して、閲覧確認用の画像をアップロードします。

オリジンアクセスの作成

【コントロール設定を作成】
から作成する。

ディストリビューションの作成

「Origin domain」は別アカウントなので一覧に表示されないので注意

作成後に、適用するバケットポリシーの定義をコピペできました。（2024/08/16現在）

コピペできたバケットポリシー（閲覧対象のS3バケットに適用する）

{
        "Version": "2008-10-17",
        "Id": "PolicyForCloudFrontPrivateContent",
        "Statement": [
            {
                "Sid": "AllowCloudFrontServicePrincipal",
                "Effect": "Allow",
                "Principal": {
                    "Service": "cloudfront.amazonaws.com"
                },
                "Action": "s3:GetObject",
                "Resource": "arn:aws:s3:::yonemoto-cloudfront-oac-test-2/*",
                "Condition": {
                    "StringEquals": {
                      "AWS:SourceArn": "arn:aws:cloudfront::AWSアカウントID:distribution/ディストリビューションID"
                    }
                }
            }
        ]
      }

結果

AWSの相談・お困りごとありましたら、、、

AWSの活用方法や、お困りごとの相談、随時、お仕事の受付しております。
AWSのLambda開発関連で、ライトな開発や、ちょっと、こんな事を自動化したい！等も、お気軽に問い合わせください。