Fehlerbehebung bei Problemen mit der Distribution

Mithilfe der hier aufgeführten Informationen können Sie Zertifikatsfehler, Probleme mit Zugriffsverweigerungen oder andere häufig auftretende Probleme diagnostizieren und beheben, die bei der Einrichtung Ihrer Website oder Anwendung mit CloudFront Amazon-Distributionen auftreten können.

CloudFront gibt eine zurück Zugriff verweigert error

Wenn Sie einen Amazon S3-Bucket als Ursprung für Ihre CloudFront Distribution verwenden, wird in den folgenden Beispielen möglicherweise die Fehlermeldung Access Denied (403) angezeigt.

Inhalt

• Sie haben ein fehlendes Objekt aus dem Amazon-S3-Ursprung angegeben

• Ihrem Amazon-S3-Ursprungs-Server fehlen IAM-Berechtigungen

• Sie verwenden ungültige Anmeldeinformationen oder verfügen nicht über ausreichende Berechtigungen

Sie haben ein fehlendes Objekt aus dem Amazon-S3-Ursprung angegeben

Stellen Sie sicher, dass das angeforderte Objekt in Ihrem Bucket vorhanden ist. Bei den Objektnamen muss die Groß- und Kleinschreibung beachtet werden. Wenn Sie einen ungültigen Objektnamen eingeben, kann dies den Fehlercode „Zugriff verweigert“ zurückgeben.

Wenn Sie beispielsweise dem CloudFront Tutorial zur Erstellung einer Basisverteilung folgen, erstellen Sie einen Amazon S3-Bucket als Ursprung und laden eine index.html Beispieldatei hoch.

Wenn Sie in Ihrem Webbrowser https://d111111abcdef8.cloudfront.net/INDEX.HTML statt https://d111111abcdef8.cloudfront.net/index.html eingeben, wird möglicherweise eine ähnliche Meldung angezeigt, da bei der index.html-Datei im URL-Pfad zwischen Groß- und Kleinschreibung unterschieden wird.

<Error>
<Code>AccessDenied</Code>
<Message>Access Denied</Message>
<RequestId>22Q367AHT7Y1ABCD</RequestId>
<HostId>
ABCDE/Vg+7PSNa/d/IfFQ8Fb92TGQ0KH0ZwG5iEKbc6+e06DdMS1ZW+ryB9GFRIVtS66rSSy6So=
</HostId>
</Error>

Ihrem Amazon-S3-Ursprungs-Server fehlen IAM-Berechtigungen

Stellen Sie sicher, dass Sie den richtigen Amazon-S3-Bucket als Ursprungsdomain und -namen ausgewählt haben. Der Ursprung (Amazon S3) muss über die richtigen Berechtigungen verfügen.

Wenn Sie nicht die richtigen Berechtigungen angeben, kann Ihren Viewern eine AccessDenied-Meldung angezeigt werden.

Wenn Sie Inhalte von Amazon S3 verteilen und außerdem AWS Key Management Service (AWS KMS) serviceseitige Verschlüsselung (SSE-KMS) verwenden, müssen Sie zusätzliche IAM-Berechtigungen für den KMS-Schlüssel und den Amazon S3-Bucket angeben. Ihre CloudFront Distribution benötigt diese Berechtigungen, um den KMS-Schlüssel zu verwenden, der für die Verschlüsselung des Amazon S3-Quell-Buckets verwendet wird.

Die Konfigurationen der Amazon S3-Bucket-Richtlinie ermöglichen es der CloudFront Verteilung, die verschlüsselten Objekte für die Inhaltsbereitstellung abzurufen.

So überprüfen Sie Ihre Schlüsselberechtigungen für Amazon-S3-Bucket und KMS

1. Stellen Sie sicher, dass der KMS-Schlüssel, den Sie verwenden, derselbe Schlüssel ist, den Ihr Amazon-S3-Bucket für die Standardverschlüsselung verwendet. Weitere Informationen finden Sie unter Angeben der serverseitigen Verschlüsselung mit AWS KMS (SSE-KMS) im Amazon Simple Storage Service-Benutzerhandbuch.

2. Stellen Sie sicher, dass die Objekte im Bucket mit demselben KMS-Schlüssel verschlüsselt sind. Sie können ein beliebiges Objekt aus dem Amazon-S3-Bucket auswählen und in den serverseitigen Verschlüsselungseinstellungen den KMS-Schlüssel-ARN überprüfen.

3. Bearbeiten Sie die Amazon S3-Bucket-Richtlinie, um die CloudFront Erlaubnis zum Aufrufen des GetObject API-Vorgangs aus dem Amazon S3-Bucket zu gewähren. Eine Beispielrichtlinie für einen Amazon-S3-Bucket, die die Ursprungszugriffssteuerung verwendet, finden Sie unter Erteilen Sie die CloudFront Erlaubnis, auf den S3-Bucket zuzugreifen.

4. Bearbeiten Sie die KMS-Schlüsselrichtlinie, um die CloudFront Berechtigung zum Ausführen der Aktionen für EncryptDecrypt, und zu gewährenGenerateDataKey*. Geben Sie ein Condition Element an, sodass nur die angegebene Distribution die aufgelisteten Aktionen ausführen kann, damit nur die angegebene CloudFront Distribution die aufgelisteten Aktionen ausführen kann. Sie können die Richtlinie an Ihre bestehende AWS KMS Richtlinie anpassen. Ein Beispiel für eine KMS-Schlüsselrichtlinie finden Sie unter SSE-KMS.

Wenn Sie die Ursprungszugriffsidentität (OAI) anstelle von OAC verwenden, unterscheiden sich die Berechtigungen für den Amazon-S3-Bucket geringfügig, da Sie die Berechtigung für eine Identität statt für den AWS-Service erteilen. Weitere Informationen finden Sie unter Erteilen der Berechtigung zum Lesen von Dateien im Amazon-S3-Bucket für eine Ursprungszugriffsidentität.

Wenn Ihre Dateien in Ihrer Distribution immer noch nicht angezeigt werden, finden Sie weitere Informationen unter Ich kann die Dateien in meiner Distribution nicht anzeigen..

Sie verwenden ungültige Anmeldeinformationen oder verfügen nicht über ausreichende Berechtigungen

Die Fehlermeldung „Zugriff verweigert“ kann angezeigt werden, wenn Sie falsche oder abgelaufene AWS SCT Anmeldeinformationen (Zugriffsschlüssel und geheimer Schlüssel) verwenden oder Ihrer IAM-Rolle oder Ihrem IAM-Benutzer die erforderliche Berechtigung zum Ausführen einer Aktion an einer CloudFront Ressource fehlt. Weitere Informationen zur Fehlermeldung „Zugriff verweigert“ finden Sie im IAM-Benutzerhandbuch unter Problembehandlung bei der Fehlermeldung „Zugriff verweigert“.

Informationen darüber, wie IAM mit arbeitet CloudFront, finden Sie unter. Identitäts- und Zugriffsmanagement für Amazon CloudFront

CloudFront gibt eine zurück InvalidViewerCertificate Fehler beim Versuch, einen alternativen Domainnamen hinzuzufügen

Wenn beim Versuch, Ihrer Distribution einen alternativen Domainnamen (CNAME) hinzuzufügen, ein InvalidViewerCertificate Fehler CloudFront zurückgegeben wird, lesen Sie die folgenden Informationen, um das Problem zu beheben. Dieser Fehler kann darauf hinweisen, dass Sie eines der folgenden Probleme lösen müssen, bevor Sie den alternativen Domänennamen erfolgreich hinzufügen können.

Die folgenden Fehler sind in der Reihenfolge aufgeführt, CloudFront in der nach der Autorisierung zum Hinzufügen eines alternativen Domainnamens gesucht wird. Dies kann Ihnen bei der Behebung von Problemen helfen, da Sie anhand des CloudFront zurückgegebenen Fehlers erkennen können, welche Verifizierungsprüfungen erfolgreich abgeschlossen wurden.

Ihrer Distribution ist kein Zertifikat angefügt.

Um einen alternativen Domänennamen (CNAME) hinzuzufügen, müssen Sie Ihrer Distribution ein vertrauenswürdiges, gültiges Zertifikat hinzufügen. Überprüfen Sie die Anforderungen, erwerben Sie ein gültiges Zertifikat, das diese Anforderungen erfüllt, und wiederholen Sie den Vorgang. Weitere Informationen finden Sie unter Voraussetzungen für die Verwendung von alternativen Domänennamen.

Es gibt zu viele Zertifikate in der Zertifikatskette für das von Ihnen angefügte Zertifikat.

Die Zahl der Zertifikate in einer Zertifikatskette ist auf fünf beschränkt. Reduzieren Sie die Anzahl der Zertifikate in der Kette und wiederholen Sie den Vorgang.

Die Zertifikatskette enthält mindestens ein Zertifikat, das für das aktuelle Datum nicht gültig ist.

Die Zertifikatskette für ein von Ihnen hinzugefügtes Zertifikat enthält mindestens ein ungültiges Zertifikat, das entweder noch nicht gültig oder abgelaufen ist. Überprüfen Sie die Felder Not Valid Before (Nicht gültig vor) und Not Valid After (Nicht gültig nach) in den Zertifikaten in Ihrer Zertifikatskette, um sicherzustellen, dass alle Zertifikate basierend auf den von Ihnen aufgelisteten Daten gültig sind.

Das von Ihnen angefügte Zertifikat wurde nicht von einer vertrauenswürdigen Zertifizierungsstelle (Certificate Authority, CA) signiert.

Das Zertifikat, das Sie CloudFront zur Überprüfung eines alternativen Domainnamens beifügen, kann kein selbstsigniertes Zertifikat sein. Es muss von einer vertrauenswürdigen CA signiert worden sein. Weitere Informationen finden Sie unter Voraussetzungen für die Verwendung von alternativen Domänennamen.

Das von Ihnen angefügte Zertifikat ist nicht korrekt formatiert.

Das Format des Domänennamens und der IP-Adresse im Zertifikat und das Format des Zertifikats selbst müssen den Standards für Zertifikate folgen.

Es ist ein CloudFront interner Fehler aufgetreten.

CloudFront wurde durch ein internes Problem blockiert und konnte keine Validierungsprüfungen für Zertifikate durchführen. CloudFront Gibt in diesem Szenario einen HTTP 500-Statuscode zurück und weist darauf hin, dass beim Anhängen des Zertifikats ein internes CloudFront Problem vorliegt. Warten Sie einige Minuten und wiederholen Sie dann den Vorgang, um dem Zertifikat den alternativen Domänennamen hinzuzufügen.

Das von Ihnen angefügte Zertifikat deckt den alternativen Domänennamen nicht ab, den Sie hinzufügen möchten.

CloudFront Erfordert, dass Sie für jeden alternativen Domainnamen, den Sie hinzufügen, ein gültiges SSL/TLS Zertifikat einer vertrauenswürdigen Zertifizierungsstelle (CA) beifügen, das den Domainnamen abdeckt, um Ihre Autorisierung zu dessen Verwendung zu bestätigen. Bitte aktualisieren Sie Ihr Zertifikat, sodass es einen Domänennamen enthält, der den CNAME-Wert abdeckt, den Sie hinzufügen möchten. Weitere Informationen und Beispiele zur Verwendung von Domänennamen mit Platzhalterzeichen finden Sie unter Voraussetzungen für die Verwendung von alternativen Domänennamen.

CloudFront gibt einen falsch konfigurierten DNS-Eintragsfehler zurück, wenn ich versuche, einen neuen CNAME hinzuzufügen

Wenn Sie einen vorhandenen Platzhalter-DNS-Eintrag haben, der auf eine CloudFront Distribution verweist, und Sie versuchen, einen neuen CNAME mit einem spezifischeren Namen hinzuzufügen, tritt möglicherweise der folgende Fehler auf:

One or more aliases specified for the distribution includes an incorrectly configured DNS record that points to another CloudFront distribution. You must update the DNS record to correct the problem. 

Dieser Fehler tritt auf, weil das DNS CloudFront anhand des CNAME abgefragt wird und der Platzhalter-DNS-Eintrag in eine andere Distribution aufgelöst wird.

Um dieses Problem zu beheben, erstellen Sie zunächst eine weitere Distribution und dann einen DNS-Eintrag, der auf die neue Distribution verweist. Abschließend fügen Sie den spezifischeren CNAME hinzu. Weitere Information zum Hinzufügen von CNAMEs finden Sie unter Hinzufügen eines alternativen Domainnamens.

Ich kann die Dateien in meiner Distribution nicht anzeigen.

Wenn Sie die Dateien in Ihrer CloudFront Distribution nicht anzeigen können, finden Sie in den folgenden Themen einige gängige Lösungen.

Haben Sie sich für beide CloudFront und Amazon S3 angemeldet?

Um Amazon CloudFront mit einem Amazon S3-Ursprung zu verwenden, müssen Sie sich für beide CloudFront und Amazon S3 separat registrieren. Weitere Informationen zur Registrierung für CloudFront und Amazon S3 finden Sie unterRichten Sie Ihre ein AWS-Konto.

Sind Ihre Amazon-S3-Bucket- und Objektberechtigungen korrekt festgelegt?

Wenn Sie es CloudFront mit einem Amazon S3-Ursprung verwenden, werden die Originalversionen Ihrer Inhalte in einem S3-Bucket gespeichert. Um den Inhalt Ihren Zuschauern zur Verfügung zu stellen, empfehlen wir Ihnen, CloudFront Origin Access Control (OAC) zu verwenden, um den Zugriff auf Amazon S3-Buckets zu sichern. Das bedeutet, dass Ihr S3-Bucket nur über CloudFront erreichbar ist. OAC steuert den Zuschauerzugriff und die sichere Bereitstellung über CloudFront. Weitere Informationen zu OAC finden Sie unter Beschränken des Zugriffs auf einen Amazon-S3-Ursprung.

Weitere Informationen zur Verwaltung Ihres Bucket-Zugriffs finden Sie unter Blockieren des öffentlichen Zugriffs auf Ihren Amazon-S3-Speicher im Amazon-S3-Benutzerhandbuch.

Objekteigenschaften und Bucket-Eigenschaften existieren unabhängig voneinander. Sie müssen jedem Objekt in Amazon S3 explizit Berechtigungen zuweisen. Objekte erben ihre Eigenschaften nicht von Buckets; Objekteigenschaften müssen unabhängig vom jeweiligen Bucket festgelegt werden.

Ist Ihr alternativer Domänenname (CNAME) richtig konfiguriert?

Wenn Sie bereits über einen CNAME-Datensatz für den Namen Ihrer Domain verfügen, aktualisieren Sie den vorhandenen Datensatz oder ersetzen Sie ihn mit einem neuen, der auf den Domain-Namen Ihrer Distribution verweist.

Stellen Sie darüber hinaus sicher, dass der CNAME-Datensatz auf den Domänennamen Ihrer Distribution, und nicht auf das Amazon S3-Bucket zeigt. Sie können überprüfen, ob der CNAME-Datensatz in Ihrem DNS-System auf den Domainnamen Ihrer Distribution zeigt. Verwenden Sie dafür ein DNS-Tool wie dig.

Das folgende Beispiel zeigt eine Dig-Anfrage für eine Domain mit dem Namen images.example.com sowie den relevanten Teil der Antwort. Unter ANSWER SECTION finden Sie eine Zeile, die den CNAME-Wert enthält. Der CNAME-Eintrag für Ihren Domainnamen ist korrekt eingerichtet, wenn der Wert auf der rechten Seite von CNAME der Domainname Ihrer CloudFront Distribution ist. Wenn das Bucket des Amazon S3-Ursprungsservers oder ein anderer Domainname angegeben wird, ist der CNAME-Datensatz nicht korrekt eingerichtet.

[prompt]> dig images.example.com

; <<> DiG 9.3.3rc2 <<> images.example.com
;; global options:	printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 15917
;; flags: qr rd ra; QUERY: 1, ANSWER: 9, AUTHORITY: 2, ADDITIONAL: 0
;; QUESTION SECTION:
;images.example.com.		 IN		A
;; ANSWER SECTION:
images.example.com. 10800 IN	CNAME	d111111abcdef8.cloudfront.net.
...
...

Weitere Informationen zu CNAMEs finden Sie unter Verwenden von benutzerdefinierten URLs durch Hinzufügen von alternativen Domainnamen (CNAMEs).

Verweisen Sie auf die richtige URL für Ihre Distribution? CloudFront

Stellen Sie sicher, dass die URL, auf die Sie verweisen, den Domainnamen (oder CNAME) Ihrer CloudFront Distribution verwendet, nicht Ihren Amazon S3-Bucket oder Ihren benutzerdefinierten Ursprung.

Benötigen Sie Hilfe bei der Fehlerbehebung in Zusammenhang mit einem benutzerdefinierten Ursprungsserver?

Wenn Sie bei der Fehlerbehebung AWS für einen benutzerdefinierten Ursprung helfen müssen, müssen wir wahrscheinlich die X-Amz-Cf-Id Header-Einträge Ihrer Anfragen überprüfen. Wenn Sie diese Einträge nicht bereits protokollieren, sollten Sie das für die Zukunft in Erwägung ziehen. Weitere Informationen finden Sie unter Verwenden von Amazon EC2 (oder eines anderen benutzerdefinierten Ursprungs). Weitere Hilfe erhalten Sie im AWS -Supportcenter.

Fehlermeldung: Certificate: < certificate-id > wird verwendet von CloudFront

Problem: Sie versuchen, ein SSL/TLS Zertifikat aus dem IAM-Zertifikatsspeicher zu löschen, und Sie erhalten die Meldung „Zertifikat: <certificate-id>wird verwendet von“. CloudFront

Lösung: Jede CloudFront Distribution muss entweder mit dem CloudFront Standardzertifikat oder mit einem benutzerdefinierten SSL/TLS Zertifikat verknüpft sein. Bevor Sie ein SSL/TLS Zertifikat löschen können, müssen Sie das Zertifikat entweder rotieren (das aktuelle benutzerdefinierte SSL/TLS Zertifikat durch ein anderes benutzerdefiniertes SSL/TLS Zertifikat ersetzen) oder von der Verwendung eines benutzerdefinierten SSL/TLS Zertifikats zur Verwendung des CloudFront Standardzertifikats zurückkehren. Um dies zu beheben, führen Sie die Schritte in einem der folgenden Verfahren aus:

• SSL/TLS Zertifikate rotieren

• Kehren Sie von einem benutzerdefinierten SSL/TLS Zertifikat zum Standardzertifikat zurück CloudFront