View a markdown version of this page

Konfiguration eines Multi-Region Access Points zur Verwendung mit AWS PrivateLink - Amazon Simple Storage Service

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Konfiguration eines Multi-Region Access Points zur Verwendung mit AWS PrivateLink

AWS PrivateLink bietet Ihnen private Konnektivität zu Amazon S3 mithilfe privater IP-Adressen in Ihrer Virtual Private Cloud (VPC). Sie können einen oder mehrere Schnittstellenendpunkte in Ihrer VPC bereitstellen, um eine Verbindung zu Amazon S3 Multi-Region Access Points herzustellen.

Sie können com.amazonaws.s3-global.accesspoint-Endpunkte für Access Points über die, oder SDKs erstellen. Multi-Region AWS-Managementkonsole AWS CLI AWS Weitere Informationen zur Konfiguration eines Schnittstellenendpunkts für Multi-Region Access Point finden Sie im VPC-Benutzerhandbuch unter Interface VPC-Endpoints. https://docs.aws.amazon.com/vpc/latest/privatelink/vpce-interface.html

Um Anfragen über Schnittstellenendpunkte an einen Multi-Region Access Point zu stellen, gehen Sie wie folgt vor, um die VPC und den Access Point zu konfigurieren. Multi-Region

So konfigurieren Sie einen Multi-Region Access Point zur Verwendung mit AWS PrivateLink

  1. Erstellen Sie einen geeigneten VPC-Endpunkt, der eine Verbindung zu Multi-Region Access Points herstellen kann, oder verfügen Sie über einen entsprechenden VPC-Endpunkt. Weitere Informationen zum Erstellen von VPC-Endpunkten finden Sie unter Schnittstelle-VPC-Endpunkte im VPC-Benutzerhandbuch.

    Wichtig

    Stellen Sie sicher, dass Sie einen com.amazonaws.s3-global.accesspoint-Endpunkt erstellen. Andere Endpunkttypen können nicht auf Access Points Multi-Region zugreifen.

    Nachdem dieser VPC-Endpunkt erstellt wurde, werden alle Multi-Region Access Point-Anfragen in der VPC über diesen Endpunkt weitergeleitet, sofern Sie privates DNS für den Endpunkt aktiviert haben. Dies ist standardmäßig aktiviert.

  2. Wenn die Multi-Region Access Point-Richtlinie keine Verbindungen von VPC-Endpunkten unterstützt, müssen Sie sie aktualisieren.

  3. Stellen Sie sicher, dass die einzelnen Bucket-Richtlinien den Benutzern des Access Points den Multi-Region Zugriff ermöglichen.

Denken Sie daran, dass Multi-Region Access Points so funktionieren, dass sie Anfragen an Buckets weiterleiten, und nicht, indem sie Anfragen selbst erfüllen. Dies ist wichtig zu beachten, da der Absender der Anfrage über Berechtigungen für den Multi-Region Access Point verfügen und auf die einzelnen Buckets im Multi-Region Access Point zugreifen darf. Andernfalls wird die Anforderung möglicherweise an einen Bucket weitergeleitet, in dem der Originator keine Berechtigungen hat, um die Anforderung zu erfüllen. Ein Multi-Region Access Point und die zugehörigen Buckets können demselben oder einem anderen Konto gehören. AWS VPCs verschiedener Konten können jedoch einen Multi-Region Access Point verwenden, wenn die Berechtigungen korrekt konfiguriert sind.

Aus diesem Grund muss die VPC-Endpunktrichtlinie den Zugriff sowohl auf den Multi-Region Access Point als auch auf jeden zugrunde liegenden Bucket ermöglichen, den Sie zur Erfüllung von Anforderungen benötigen. Nehmen wir zum Beispiel an, Sie haben einen Multi-Region Access Point mit dem Aliasmfzwi23gnjvgw.mrap. Es wird von Buckets amzn-s3-demo-bucket1 und amzn-s3-demo-bucket2 gesichert, die alle im Besitz von AWS-Konto 123456789012 sind. In diesem Fall würde die folgende VPCE-Endpunktrichtlinie zulassen, dass GetObject-Anforderungen von der VPC an mfzwi23gnjvgw.mrap von einem der beiden Backing-Buckets erfüllt werden.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
    {
        "Sid": "Read-buckets-and-MRAP-VPCE-policy",
        "Principal": "*",
        "Action": [
            "s3:GetObject"
        ],
        "Effect": "Allow",
        "Resource": [
            "arn:aws:s3:::amzn-s3-demo-bucket1/*",
            "arn:aws:s3:::amzn-s3-demo-bucket2/*",
            "arn:aws:s3::111122223333:accesspoint/mfzwi23gnjvgw.mrap/object/*"
        ]
    }]
}

Wie bereits erwähnt, müssen Sie außerdem sicherstellen, dass die Multi-Region Access Point-Richtlinie so konfiguriert ist, dass sie den Zugriff über einen VPC-Endpunkt unterstützt. Sie müssen den VPC-Endpunkt, der den Zugriff anfordert, nicht angeben. Die folgende Beispielrichtlinie würde jedem Anforderer Zugriff gewähren, der versucht, den Multi-Region Access Point für die GetObject Anfragen zu verwenden.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
    {
        "Sid": "Open-read-MRAP-policy",
        "Effect": "Allow",
        "Principal": "*",
        "Action": [
            "s3:GetObject"
          ],
        "Resource": "arn:aws:s3::111122223333:accesspoint/mfzwi23gnjvgw.mrap/object/*"
    }]
}

Und natürlich würden die einzelnen Buckets jeweils eine Richtlinie benötigen, um den Zugriff von Anforderungen zu unterstützen, die über den VPC-Endpunkt gesendet werden. Die folgende Beispielrichtlinie gewährt allen anonymen Benutzern Lesezugriff. Dies würde Anfragen einschließen, die über den VPC-Endpunkt gestellt werden.

JSON
{
    "Version":"2012-10-17",
   "Statement": [
   {
       "Sid": "Public-read",
       "Effect": "Allow",
       "Principal": "*",
       "Action": "s3:GetObject",
       "Resource": [
           "arn:aws:s3:::amzn-s3-demo-bucket1",
           "arn:aws:s3:::amzn-s3-demo-bucket2/*"]
    }]
}

Weitere Informationen zur Bearbeitung einer VPC-Endpunktrichtlinie finden Sie unter Steuerung des Zugriffs auf Services mit VPC-Endpunkten im VPC-Benutzerhandbuch.