一般的なAWSでのスマホアプリでの画像配信について

Question

一般的なSNSのようなユーザが投稿した画像を閲覧可能なサイトがあったとして、その画像は限られた範囲にしか公開できないものだとしたいときに
どのような制限で限られたユーザのみ閲覧可能を実現するのがベストプラクティスでしょうか
現状は以下のように考えております

サーバアプリケーション:ec2, lambda, ecs等
DB：RDS
ユーザがアップしたコンテンツ：S3

サーバアプリにて画像がpostされたときにランダム文字列を生成しファイル名とする。
S3へアプリからputObjectを行い、RDSへランダム文字列を公開範囲と紐付けて保存する
cloudFrontまたはS3をパブリック公開し、直接のURLでのアクセスを可能とする
サーバアプリは画像をリクエストされたときに、公開範囲内のユーザからのリクエストであればその画像のS3内のパスを返却する

上記実装でランダム文字列を当てられない限りは外部からのアクセスは不可かと思いますが、URLさえ当ててしまえば誰でも画像が取得できてしまうのは如何なものかと思い。。
なにか正しいやり方が他にあるのでしょうか？
サーバアプリでbase64エンコードして返却してクライアントアプリで画像に戻したりするべきなんですかね？
助言や参考になるサイトなどありましたらお願い致します

追記
試しにtwitterで鍵アカの人の画像urlコピーしてログアウト後アクセスしたら画像取得できたので
そういうものだと考えて良さそうな気がしてきました

Answer 1

ベストプラクティスかどうかわかりませんが、pre-signed URLを使うとある程度絞れるのではないでしょうか。
認証済みのユーザ
もちろん、発行したpre-signed URLが有効なうちに漏れたらアクセスできちゃいますけどね…。

下記はアップロードの場合の話ですが、Cognitoと連携して認証済みユーザのみpre-signed URLを発行できるようにすればある程度目的に近いことができそうだなとは思います。
【 AWS 】Amazon Cognitoで認証を行って、S3にファイルをアップロードする仕組みを実装してみた(1)

もしかしたらpre-signed URLを使わないで、単純に認証済みユーザのみアクセス出来るように権限コントロールすれば行けるかもしれませんが、細かくはきちんと設計してみないとちょっとわからないですね。

Comments

[pen_ari]

ご回答ありがとうございます。
ちなみに世間一般のwebアプリとしては
私が最初に提示したようなURLさえ知っていれば誰でも閲覧可能だが、そもそもURLの推定が実質不可能になるようにする
というのが一般的なのでしょうか

[mike2mike4]

暗号もキーを「たまたま当てれば」復号化できるので、同じような物かと。

[yu_1985]

そのようなユースケースが一般的かどうかはちょっとわかりません。
というか、まずそういう要件のWEBアプリが世の中にどの程度あるかですね。
正直要件次第としか言いようがありません。「世間一般」が何を指しているのかわかりかねます。

衝突の可能性が限りなく低いパスを使用することによって他社からの閲覧の可能性をほぼゼロにすることで問題ないならそうすればいいですし、そうでないなら何らかの形で明確に権限を要求すればいいでしょう。