CloudFront Security: OAC vs OAI, Signed URLs आणि Signed Cookies

By Ravindra Bagale, trainer · LinkedIn · Last updated: 22 October 2026

1. गोष्ट: cinema ticket

Cinema ला एक दरवाजा (CloudFront) आणि projection room (S3). दोन नियम. एक: projection room फक्त cinema staff साठी उघडते, रस्त्यावरच्यांसाठी कधीच नाही. दोन: दरवाजा फक्त या show च्या ticket ने आत सोडतो, आणि show सुरू झाल्यावर ticket निरुपयोगी.

पहिला नियम OAC. दुसरा signed URL किंवा signed cookie.

2. OAC vs OAI

हे का लागतं?

Bucket public असेल तर कोणीही CloudFront, त्याचे signed URLs आणि WAF टाळून थेट S3 मधून download करू शकतो.

हे काय आहे?

OAC bucket policy

{"Version":"2012-10-17","Statement":[{"Sid":"AllowCloudFrontOAC","Effect":"Allow",
 "Principal":{"Service":"cloudfront.amazonaws.com"},
 "Action":"s3:GetObject","Resource":"arn:aws:s3:::course-videos/*",
 "Condition":{"StringEquals":{"AWS:SourceArn":"arn:aws:cloudfront::111122223333:distribution/E1ABCDEF2GHIJ"}}}]}

Condition का: त्याशिवाय कोणत्याही account चं कोणतंही CloudFront distribution तुमचा bucket वाचू शकेल. Objects SSE-KMS वापरत असतील तर key policy मध्ये त्याच SourceArn condition सह cloudfront.amazonaws.com ला kms:Decrypt पण allow करा.

OAI bucket policy (legacy, जुने setups वाचण्यासाठी)

{"Version":"2012-10-17","Statement":[{"Effect":"Allow",
 "Principal":{"AWS":"arn:aws:iam::cloudfront:user/CloudFront Origin Access Identity E2QWRUHAPOMQZL"},
 "Action":"s3:GetObject","Resource":"arn:aws:s3:::course-videos/*"}]}

Migrate: OAC बनवा, bucket policy मध्ये OAC statement जोडा, origin OAC वर switch करा, test करा, मग OAI statement काढा.

3. Signed URLs आणि signed cookies

हे का लागतं?

OAC bucket लपवतो, पण CloudFront URL स्वतः उघडा. Paid किंवा private content साठी प्रत्येक viewer ला वैयक्तिक, expire होणारी permission हवी.

हे काय आहे?

Cache behavior वर Restrict viewer access: Yes करा आणि key group जोडा. App जुळणाऱ्या private key ने URLs किंवा cookies sign करतं. CloudFront public key ने signature आणि expiry तपासतो. Valid signature नाही = 403.

4. Key groups

• RSA 2048 key pair स्वतः बनवा: openssl genrsa -out private_key.pem 2048 आणि openssl rsa -pubout -in private_key.pem -out public_key.pem.
• फक्त public key CloudFront › Key management › Public keys मध्ये upload. K2JCJMDEHXQW5F सारखा ID मिळतो.
• तो key group मध्ये टाका आणि group behavior ला जोडा. Rotation: group मध्ये नवीन key, app switch, जुनी key काढा.
• Private key AWS Secrets Manager किंवा SSM Parameter Store मध्ये, Git मध्ये कधीच नाही. Key groups जुन्या root-account "CloudFront key pairs" ची जागा घेतात.
• Expiry: video साठी कमी (5 ते 60 minutes). Signed URL request सुरू होताना तपासला जातो, म्हणून expiry आधी सुरू झालेला मोठा download पूर्ण होऊ शकतो.

5. Geo restriction आणि AWS WAF

• Geo restriction (Security tab): देशांची allow list किंवा block list. Blocked viewers ना 403. का: licensing ("फक्त India") किंवा कायदे. CloudFront GeoIP database वापरतो, म्हणून साधारण 99.8% अचूक, आणि VPNs टाळू शकतात.
• AWS WAF: distribution ला जोडलेला web ACL. AWS managed rule groups (Core rule set, Known bad inputs, SQL database) आणि दर IP दर 5 minutes 2,000 requests सारख्या rate-based rule ने सुरू करा. का: SQL injection, bad bots आणि floods edge वरच, origin आधी थांबवतो.
• AWS Shield Standard प्रत्येक distribution ला common network DDoS attacks पासून extra खर्चाशिवाय वाचवतो.

6. तीन languages मध्ये signing code

// Node.js  -  npm i @aws-sdk/cloudfront-signer
const { getSignedUrl } = require('@aws-sdk/cloudfront-signer');
const fs = require('fs');
const url = getSignedUrl({
  url: 'https://dXXXX.cloudfront.net/private/intro.mp4',
  keyPairId: 'K2JCJMDEHXQW5F',                     // public key ID
  privateKey: fs.readFileSync('private_key.pem', 'utf8'),
  dateLessThan: new Date(Date.now() + 5 * 60 * 1000).toISOString()  // 5 minutes
});
console.log(url);

# Python  -  pip install botocore cryptography
import datetime
from botocore.signers import CloudFrontSigner
from cryptography.hazmat.primitives import hashes, serialization
from cryptography.hazmat.primitives.asymmetric import padding

KEY = serialization.load_pem_private_key(open("private_key.pem", "rb").read(), password=None)
def rsa_signer(message):
    return KEY.sign(message, padding.PKCS1v15(), hashes.SHA1())  # CloudFront uses RSA-SHA1

signer = CloudFrontSigner("K2JCJMDEHXQW5F", rsa_signer)
expires = datetime.datetime.now(datetime.timezone.utc) + datetime.timedelta(minutes=5)
print(signer.generate_presigned_url("https://dXXXX.cloudfront.net/private/intro.mp4", date_less_than=expires))

<?php // PHP  -  composer require aws/aws-sdk-php
require 'vendor/autoload.php';
$cf = new Aws\CloudFront\CloudFrontClient(['region' => 'us-east-1', 'version' => '2020-05-31']);
echo $cf->getSignedUrl([
    'url'         => 'https://dXXXX.cloudfront.net/private/intro.mp4',
    'expires'     => time() + 300,
    'private_key' => __DIR__ . '/private_key.pem',
    'key_pair_id' => 'K2JCJMDEHXQW5F',
]);

Node मध्ये signed cookies साठी getSignedCookies({url, keyPairId, privateKey, policy}), custom policy चा Resource https://dXXXX.cloudfront.net/course/42/*; मिळालेल्या तीन cookies Domain, Secure आणि HttpOnly सह set करा.

7. Lab: 5-minute signed URL सह private video

कसं करायचं (step by step)

1. Bucket yourname-cf-secure (private). छोटा MP4 upload: aws s3 cp intro.mp4 s3://yourname-cf-secure/private/intro.mp4. free/preview.mp4 पण upload.
2. CloudShell मध्ये: openssl genrsa -out private_key.pem 2048 && openssl rsa -pubout -in private_key.pem -out public_key.pem.
3. CloudFront › Public keys › Create: name lab-key, public_key.pem paste. ID copy करा.
4. Key groups › Create: name lab-kg, lab-key निवडा.
5. Distribution बनवा: origin = नवीन OAC सह bucket REST endpoint, default behavior CachingOptimized, Redirect HTTP to HTTPS. CloudFront दाखवते ती bucket policy लावा.
6. Behaviors › Create: path /private/*, same origin, Restrict viewer access: Yes, Trusted key groups = lab-kg. Save करा आणि deploy ची वाट बघा.
7. Free file: curl -sI https://dXXXX.cloudfront.net/free/preview.mp4 | head -1. अपेक्षित: HTTP/2 200.
8. Private file, signature नाही: curl -sI https://dXXXX.cloudfront.net/private/intro.mp4 | head -1. अपेक्षित: HTTP/2 403 (MissingKey).
9. वरच्या Node, Python किंवा PHP code ने sign करा (तुमचा domain आणि key ID). curl -sI "SIGNED_URL" | head -1. अपेक्षित: 200. Browser मध्ये उघडा: video चालतो.
10. Tamper test: Signature मधलं एक अक्षर बदला. अपेक्षित: 403 (Access denied).
11. 6 minutes थांबा आणि मूळ signed URL परत चालवा. अपेक्षित: Expires संपल्यामुळे "Access denied" सह 403.
12. Bypass test: curl -sI https://yourname-cf-secure.s3.ap-south-1.amazonaws.com/private/intro.mp4 | head -1. अपेक्षित: 403 (OAC bucket private ठेवतो).
13. Optional geo test: Security › CloudFront geographic restrictions › Block list › India. Deploy नंतर Indian IP वरून free file 403 देते. नंतर block काढा.

Cleanup

1. Distribution disable करून delete. मग key group lab-kg, public key lab-key आणि OAC delete (याच order ने; वापरात असलेलं delete होत नाही).
2. aws s3 rb s3://yourname-cf-secure --force; shred -u private_key.pem.

8. Interview questions

उजळणी, तुलना आणि मुलाखत cards

हा lesson काही मिनिटांत revise करा. Cards phone वर save करा किंवा PNG download करा. प्रत्येक card वरचा QR हा lesson उघडतो.

अजून cards: Ravi Sir's Cards.