Amazon S3でリファラ制限をして画像をimgタグで表示できるようにしたい

Question

前提・実現したいこと

S3にある画像を指定したリファラからのみアクセスできるようにしたい。

発生している問題・エラーメッセージ

どこからでもアクセスできるようになってしまっている。

該当のソースコード

{
  "Version": "2012-10-17",
  "Id": "bucket policy",
  "Statement": [
    {
      "Sid": "Stmt123456789",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789:user/console_user"
      },
      "Action": "s3:*",
      "Resource": [
        "arn:aws:s3:::BUCKET_NAME",
        "arn:aws:s3:::BUCKET_NAME/*"
      ]
    },
    {
      "Sid": "Stmt987654321",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789:user/application_user"
      },
      "Action": "s3:*",
        "Resource": [
          "arn:aws:s3:::BUCKET_NAME",
          "arn:aws:s3:::BUCKET_NAME/*"
        ]
    },
    {
      "Sid": "Allow get requests originating from www.example.com and example.com.",
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "s3:GetObject",
        "s3:GetObjectVersion"
      ],
      "Resource": "arn:aws:s3:::BUCKET_NAME/*",
      "Condition": {
        "StringLike": {
          "aws:Referer": [
            "http://xxx.xxx.xxx/*",
            "https://yyy.yyy.yyy/*"
          ]
        }
      }
    }
  ]
}

上２つのStatementはコンソール、Laravelから画像をアップロードと削除をするために追加しています。

試したこと

ブロックパブリックアクセス (バケット設定)は全てオフにしていますが、そうするとどこからでもアクセスできるようになります。
一度、こちらを参考にポリシーを作成したのですが、リファラ制限はできたものの、アップロード（とおそらく削除も）ができなくなりました。
ポリシーは明示的な拒否は明示的な許可に優先するということなのでそのポリシーがそのままではダメだったことはわかりました。

補足情報（FW/ツールのバージョンなど）

Laravel 8.64.0

画像は

Storage::disk('s3')->putFile("パス", $file, 'public');

でアップロードしています。
そのため、各画像ファイルのACLは全員 (パブリックアクセス)のオブジェクトが読み込み許可になっています。

Comments

[rikues2000]

私も似たようなことをしたことがあります。
nedisohさんと同様に「Allow」だとダメだったので、「Deny」で制御しました。

リンク先を参考にしてもダメとのことでしたが、
同じようなサイトをみて私は正しく動作したので、サンプルを記載します。
※nedisohさんも同じようなことをされたとのことで、回答に記載せず、ここに書きました。
※ここに記載するとタブが変換されてしまい、見にくくてすみません。

--------------------------------------------------------
{
"Version": "2012-10-17",
"Id": "bucket policy",
"Statement": [
{
"Sid": "Referer Deny",
"Effect": "Deny",
"Principal": "*",
"Action": "s3:GetObject",
"Resource": "arn:aws:s3:::BUCKET_NAME/*",
"Condition": {
"StringNotLike": {
"aws:Referer": [
"http://xxx.xxx.xxx/*",
"https://yyy.yyy.yyy/*"
]
}
}
}
]
}
--------------------------------------------------------

Answer 1

オブジェクトをPrivateにしてアップロードすることで意図通りのリファラチェックが働くようになりました。
オブジェクトをPublicにすると「明示的に全公開」になるということのようで、基本的にPrivateであげてそこに許可する条件をつけると良さそうです。
ブロックパブリックアクセスはまだよくわかりませんが・・・。