AWS 上的内容交付模式：CloudFront、ALB 和 S3

Source: Dev.to

请提供您希望翻译的正文内容（除代码块和 URL 之外），我将按照要求保持原有的 Markdown 格式并翻译为简体中文。

内容交付在云架构中的作用

内容交付是指以最小的延迟和高可靠性向用户提供静态或动态内容的过程。这包括图像、视频、JavaScript 文件、API，甚至完整的 Web 应用程序等资产。

在云环境中，内容交付不仅仅关乎速度。它还涉及：

• 减轻源系统的负载
• 吸收流量峰值和 DDoS 攻击
• 在靠近用户的地方实施安全控制
• 确保全球可用性

AWS 通过将内容存储、请求处理和边缘交付分离为专用服务，并将这些服务组合成灵活的模式，从而实现上述目标。

Amazon S3 作为内容源

Amazon S3 通常是内容分发架构的起点。它提供专为静态内容（如图像、CSS、JavaScript、文档和媒体文件）设计的高持久性对象存储。

• 可扩展 – 无需容量规划。
• 持久 – 99.999999999 %（11 个 9）持久性。

当客户端直接访问时，S3 端点可能会给远离存储桶所在区域的用户带来更高的延迟。直接访问还限制了应用高级请求路由、缓存逻辑或应用层安全的能力。基于这些原因，S3 最有效的使用方式是作为 源（origin），而不是直接的交付端点。

CloudFront 作为全球交付层

Amazon CloudFront 是 AWS 的内容分发网络 (CDN)，旨在从靠近终端用户的边缘位置缓存并提供内容。CloudFront 位于 S3 存储桶或 ALB 等源之前，在边缘处理传入请求。

关键优势

• 地理缓存 可降低延迟和源站负载。
• 原生集成 与 AWS Shield、AWS WAF 以及基于 IAM 的访问控制。
• 支持静态和动态 内容，使其成为许多交付模式的核心组件。

Pattern 1: CloudFront + S3 for Static Content Delivery

最简单且最常见的模式是将 CloudFront 放在 S3 存储桶前面。

1. 用户请求 → 最近的 CloudFront 边缘位置。
2. 如果对象已缓存 → 立即返回。
3. 如果未缓存 → CloudFront 从 S3 拉取对象，缓存后再交付给用户。

Advantages

• 低延迟的全球分发。
• 减少对 S3 存储桶的直接暴露。
• 对高流量的成本高效扩展。

Security tip

限制 S3 存储桶的访问，使对象只能通过 CloudFront 获取，使用 Origin Access Control (OAC)（或旧版的 Origin Access Identity）。

Ideal for: 静态网站、资产托管、媒体分发。

模式 2：CloudFront + ALB 用于动态内容

动态应用需要请求处理、路由和计算。在这种情况下，应用负载均衡器 (Application Load Balancer) 成为 CloudFront 背后的源。

• ALB 将传入请求分发到后端服务（EC2、ECS、EKS 等）。
• CloudFront 在边缘终止客户端连接，并在需要时将请求转发给 ALB。

好处

• 对选定的动态响应进行边缘级缓存。
• 在靠近用户的地方进行 TLS 终止和安全强制。
• 在 ALB 层进行基于路径或基于主机的路由。

即使动态响应通常不易缓存，CloudFront 仍然提供：

• 连接复用。
• DDoS 防护。
• 一致的全球入口点。

常见用例： API、Web 应用、基于微服务的后端。

模式 3：混合内容交付（CloudFront + S3 + ALB）

许多实际架构会将静态和动态交付合并到同一个 CloudFront 分配中。CloudFront 根据路径模式将请求路由到不同的源。

示例路由规则

优势

• 在单一域名下实现集中交付。
• 每种内容类型均由最合适的后端提供服务。
• 运维简便且性能优秀：静态资源被积极缓存，而动态请求则高效转发至应用服务。

安全性和访问控制考虑

内容交付模式必须以安全为前提进行设计。CloudFront 在源站前充当保护层。

常见安全实践

• 将 S3 存储桶访问限制仅限于 CloudFront（OAC/OAI）。
• 在 CloudFront 层部署 AWS WAF，过滤恶意流量。
• 强制使用 HTTPS 并采用现代 TLS 策略（TLS 1.2+）。
• 将 ALB 暴露范围限制在 CloudFront IP 范围内（通过安全组），或将 ALB 放置在私有子网并通过 VPC 端点访问。

通过确保所有流量都经过 CloudFront，您可以在请求到达源站之前，拥有统一的身份验证、授权和威胁缓解入口。

起源与安全

起源不能直接从互联网访问；架构降低攻击面并强制执行一致的访问策略。

性能与可扩展性影响

• CloudFront 将大量流量从源系统卸载，降低计算负载，提升响应时间，并使后端服务能够更可预测地扩展。
• ALB 随流量自动扩展。
• S3 完全不需要进行扩展管理。

这些服务共同构建的架构能够在无需人工干预的情况下应对突发流量高峰。

关键调优参数：

• 缓存行为
• TTL 设置
• 失效策略

这些在平衡新鲜度与性能时变得尤为重要。

结论

• 仅静态工作负载 → CloudFront + S3。
• 动态工作负载 → CloudFront + ALB。
• 混合工作负载 → 混合 CloudFront 分配，路由到 S3 和 ALB。

选择合适的模式取决于内容的性质、性能需求和安全姿态。通过将 CloudFront 作为全球入口点，并与适当的源（S3、ALB 或两者）配合使用，您可以构建一个快速、可扩展且安全的内容分发架构。

结论

在 AWS 上进行内容交付需要为不同的工作负载选择合适的服务。

• S3 提供持久且可扩展的存储。
• ALB 负责智能请求路由和应用流量。
• CloudFront 在全球范围内以低延迟和强安全性交付内容。

每项服务解决了大规模内容交付的不同方面，组合使用它们可构建稳健的高性能交付架构。