ACCESO A CONTENIDO EN S3 SOLO PARA USUARIOS AUTENTICADOS

Proteger contenido en Amazon S3 es fundamental cuando se trabaja con aplicaciones que requieren autenticación. En lugar de exponer archivos públicamente, es posible utilizar servicios como CloudFront, Cognito y Lambda@Edge para controlar quién accede a los recursos. Esta arquitectura permite que solo usuarios autenticados puedan consumir contenido, mejorando la seguridad sin sacrificar rendimiento. Implementar esta estrategia es clave en plataformas como e-learning o distribución de contenido privado.

[INGENIERÍA DE SOFTWARE] ACCESO A CONTENIDO EN S3 SOLO PARA USUARIOS AUTENTICADOS

Cuando se desarrollan aplicaciones que manejan contenido privado, como plataformas educativas o sistemas internos, es común almacenar archivos en S3. Sin embargo, dejar estos recursos públicos representa un riesgo de seguridad, ya que cualquier persona con la URL puede acceder a ellos. La solución consiste en introducir una capa de control que permita validar la identidad del usuario antes de entregar el contenido.

Para lograr esto, se puede combinar servicios como CloudFront, Cognito y Lambda@Edge, creando una arquitectura donde el acceso a S3 está completamente restringido y mediado por un sistema de autenticación.

1. Problema: contenido público en S3

En muchos sistemas iniciales, los archivos almacenados en S3 se configuran como públicos para simplificar el acceso. Aunque esto facilita el desarrollo, también abre la puerta a accesos no autorizados, ya que cualquier usuario que obtenga la URL puede consumir el contenido sin restricciones.

Este problema se vuelve crítico en aplicaciones donde el contenido tiene valor, como cursos, documentos privados o recursos exclusivos. En estos casos, no basta con proteger la API; también es necesario asegurar directamente el almacenamiento.

2. Uso de CloudFront como capa de acceso

CloudFront actúa como una red de distribución de contenido (CDN) que se sitúa entre el usuario y S3. En lugar de acceder directamente al bucket, los usuarios realizan solicitudes a CloudFront, que se encarga de servir el contenido de forma eficiente y segura.

Además de mejorar la latencia al utilizar ubicaciones cercanas al usuario, CloudFront permite integrar lógica adicional antes de entregar los recursos. Esto lo convierte en un punto ideal para aplicar controles de acceso y evitar que el bucket de S3 sea expuesto directamente.

3. Restricción del acceso directo a S3

Una vez que CloudFront está configurado, el siguiente paso es eliminar el acceso público al bucket de S3. Esto implica bloquear completamente el acceso público y definir políticas que permitan únicamente a CloudFront leer los objetos.

Este enfoque garantiza que ningún usuario pueda acceder directamente a los archivos, incluso si conoce la URL original. De esta manera, todo el tráfico se canaliza a través de la capa controlada, reduciendo significativamente la superficie de ataque.

4. Autenticación con Cognito y Lambda@Edge

Para asegurar que solo usuarios autenticados accedan al contenido, se utiliza Cognito como sistema de autenticación. Sin embargo, CloudFront no tiene integración directa con Cognito como lo hace API Gateway, por lo que es necesario implementar una función Lambda@Edge.

Esta función se ejecuta en las ubicaciones de CloudFront y se encarga de validar el token JWT incluido en la solicitud. Si el token es válido y el usuario tiene los permisos adecuados, la petición continúa; en caso contrario, se bloquea el acceso. Este mecanismo permite aplicar autenticación sin afectar significativamente el rendimiento.

5. Flujo completo de acceso al contenido

En esta arquitectura, el flujo de acceso cambia completamente respecto a un sistema con contenido público. El usuario primero se autentica en la aplicación, luego solicita el contenido a través de un endpoint protegido, y finalmente accede a los archivos mediante CloudFront.

El microservicio de contenido ya no devuelve URLs públicas de S3, sino enlaces de CloudFront. Esto asegura que todas las solicitudes pasen por el proceso de validación. Como resultado, el sistema mantiene el contenido protegido sin complicar la experiencia del usuario final.

CONCLUSIÓN

Restringir el acceso a contenido en S3 es una práctica esencial en aplicaciones modernas que manejan información privada. Utilizar CloudFront como intermediario, junto con Cognito y Lambda@Edge para la autenticación, permite construir una solución segura y escalable.

Más allá de la implementación técnica, este enfoque refleja un principio clave en arquitectura cloud: nunca exponer directamente los recursos críticos. En su lugar, se deben construir capas de control que validen cada acceso y protejan el sistema frente a usos indebidos.

Autor: Cristian Olivera