Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Berechtigungen

Amazon S3 Multi-Region Access Points können den Datenzugriff für Amazon S3-Buckets in mehreren AWS-Regionen Schritten vereinfachen. Multi-Region Access Points sind benannte globale Endpunkte, mit denen Sie Amazon S3-Datenzugriffsobjektoperationen wie und ausführen können. GetObject PutObject Jeder Multi-Region Access Point kann über unterschiedliche Berechtigungen und Netzwerksteuerungen für jede Anfrage verfügen, die über den globalen Endpunkt gestellt wird.

Jeder Multi-Region Access Point kann auch eine benutzerdefinierte Zugriffsrichtlinie durchsetzen, die in Verbindung mit der Bucket-Richtlinie funktioniert, die dem zugrunde liegenden Bucket zugeordnet ist. Damit eine kontoübergreifende Anforderung erfolgreich ist, müssen die folgenden Richtlinien die Operation zulassen:

Sie können jede Multi-Region Access Point-Richtlinie so konfigurieren, dass nur Anfragen von bestimmten IAM-Benutzern oder -Gruppen akzeptiert werden. Ein Beispiel für diese Vorgehensweise finden Sie in Beispiel 2 unter Multi-Region Beispiele für Access Point-Richtlinien. Um den Amazon S3-Datenzugriff auf ein privates Netzwerk einzuschränken, können Sie die Multi-Region Access Point-Richtlinie so konfigurieren, dass nur Anfragen von einer Virtual Private Cloud (VPC) akzeptiert werden.

Nehmen wir zum Beispiel an, Sie stellen eine GetObject Anfrage über einen Multi-Region Access Point, indem Sie einen Benutzer verwenden, der AppDataReader in Ihrem AWS Konto aufgerufen wurde. Um sicherzustellen, dass die Anfrage nicht abgelehnt wird, muss dem AppDataReader Benutzer die s3:GetObject Erlaubnis vom Multi-Region Access Point und von jedem Bucket, der dem Access Point zugrunde liegt, erteilt werden. Multi-Region AppDataReaderkann keine Daten aus einem Bucket abrufen, der diese Berechtigung nicht gewährt.

Verwaltung des öffentlichen Zugangs zu einem Multi-Region Access Point

Multi-Region Access Points unterstützen unabhängige Einstellungen zum Blockieren des öffentlichen Zugriffs für jeden Multi-Region Access Point. Wenn Sie einen Multi-Region Access Point erstellen, können Sie die Einstellungen „Öffentlichen Zugriff sperren“ angeben, die für diesen Multi-Region Access Point gelten.

Für jede Anfrage, die über einen Multi-Region Access Point gestellt wird, bewertet Amazon S3 die Einstellungen für die Sperrung des öffentlichen Zugriffs auf:

Wenn eine dieser Einstellungen darauf hinweist, dass die Anforderung gesperrt werden soll, lehnt Amazon S3 die Anforderung ab. Weitere Hinweise zur Funktion Amazon S3 Block Public Access finden Sie unter Blockieren des öffentlichen Zugriffs auf Ihren Amazon-S3-Speicher.

Die Einstellungen „Öffentlichen Zugriff blockieren“ für einen Multi-Region Access Point anzeigen

Verwenden Sie eine Multi-Region Access Point-Richtlinie

Das folgende Beispiel für eine Multi-Region Access Point-Richtlinie gewährt einem IAM-Benutzer Zugriff auf das Auflisten und Herunterladen von Dateien von Ihrem Multi-Region Access Point. Wenn Sie diese Beispielrichtlinie verwenden möchten, ersetzen Sie user input placeholders durch Ihre eigenen Informationen.

JSON

 {
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Principal":{
            "AWS":"arn:aws:iam::123456789012:user/JohnDoe" 
         },
         "Action":[
            "s3:ListBucket",
            "s3:GetObject"
         ],
         "Resource":[
            "arn:aws:s3::111122223333:accesspoint/MultiRegionAccessPoint_alias",
            "arn:aws:s3::111122223333:accesspoint/MultiRegionAccessPoint_alias/object/*"
         ]
      }
   ]
}

Verwenden Sie den folgenden put-multi-region-access-point-policy Befehl, um Ihre Multi-Region Multi-Region Access Point-Richtlinie mithilfe der AWS Command Line Interface (AWS CLI) dem angegebenen Access Point zuzuordnen. Wenn Sie diese Beispielbefehl verwenden möchten, ersetzen Sie user input placeholders durch Ihre Informationen. Jeder Multi-Region Access Point kann nur eine Richtlinie haben, sodass eine Anforderung an die put-multi-region-access-point-policy Aktion alle vorhandenen Richtlinien ersetzt, die dem angegebenen Multi-Region Access Point zugeordnet sind.

AWS CLI

aws s3control put-multi-region-access-point-policy
--account-id 111122223333
--details { "Name": "amzn-s3-demo-bucket-MultiRegionAccessPoint", "Policy": "{ \"Version\": \"2012-10-17\", \"Statement\": { \"Effect\": \"Allow\", \"Principal\": { \"AWS\": \"arn:aws:iam::111122223333:root\" }, \"Action\": [\"s3:ListBucket\", \"s3:GetObject\"], \"Resource\": [ \"arn:aws:s3::111122223333:accesspoint/MultiRegionAccessPoint_alias", \"arn:aws:s3::111122223333:accesspoint/MultiRegionAccessPoint_alias/object/*\" ] } }" }

Verwenden Sie den folgenden Befehl, um die Ergebnisse der vorherigen Operation abzufragen:

AWS CLI

aws s3control describe-multi-region-access-point-operation
--account-id 111122223333
--request-token-arn requestArn

Verwenden Sie den folgenden Befehl, um Ihre Multi-Region Access Point-Richtlinie abzurufen:

AWS CLI

aws s3control get-multi-region-access-point-policy
--account-id 111122223333
--name=amzn-s3-demo-bucket-MultiRegionAccessPoint

Bearbeitung der Multi-Region Access Point-Richtlinie

Die Multi-Region Access Point-Richtlinie (in JSON geschrieben) ermöglicht den Speicherzugriff auf die Amazon S3-Buckets, die mit diesem Multi-Region Access Point verwendet werden. Sie können bestimmten Principals erlauben oder verweigern, verschiedene Aktionen auf Ihrem Multi-Region Access Point durchzuführen. Wenn eine Anfrage über den Multi-Region Access Point an einen Bucket weitergeleitet wird, gelten sowohl die Zugriffsrichtlinien für den Multi-Region Access Point als auch für den Bucket. Die restriktivere Zugriffsrichtlinie hat immer Vorrang.

Nachdem Sie eine Multi-Region Access Point-Richtlinie angewendet haben, kann die Richtlinie nicht gelöscht werden. Sie können entweder die Richtlinie bearbeiten oder eine neue Richtlinie erstellen, die die bestehende überschreibt.

Multi-Region Beispiele für Access Point-Richtlinien

Ressourcenrichtlinien zur Unterstützung von Amazon S3 Multi-Region Access Points AWS Identity and Access Management (IAM). Sie können diese Richtlinien verwenden, um die Nutzung des Multi-Region Access Points nach Ressourcen, Benutzern oder anderen Bedingungen zu steuern. Damit eine Anwendung oder ein Benutzer über einen Access Point auf Objekte Multi-Region zugreifen kann, müssen sowohl der Multi-Region Access Point als auch der zugrunde liegende Bucket denselben Zugriff gewähren.

Gehen Sie wie folgt vor, um denselben Zugriff sowohl Multi-Region auf den Access Point als auch auf den zugrunde liegenden Bucket zu gewähren: