Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Steuern des Zugriffs von VPC Endpunkten aus mit Bucket-Richtlinien

Sie können Amazon S3 S3-Bucket-Richtlinien verwenden, um den Zugriff auf Buckets von bestimmten Virtual Private Cloud (VPC) -Endpunkten oder bestimmten zu kontrollieren. VPCs Dieser Abschnitt enthält Beispiel-Bucket-Richtlinien, mit denen Sie den Amazon S3 S3-Bucket-Zugriff von VPC Endpunkten aus steuern können. Informationen zum Einrichten von VPC Endpunkten finden Sie unter VPCEndgeräte im VPC Benutzerhandbuch.

A VPC ermöglicht es Ihnen, AWS Ressourcen in einem von Ihnen definierten virtuellen Netzwerk bereitzustellen. Mit einem VPC Endpunkt können Sie eine private Verbindung zwischen Ihrem Endgerät VPC und einem anderen herstellen AWS-Service. Für diese private Verbindung ist kein Zugriff über das Internet, über eine virtuelle private Netzwerkverbindung (VPN), über eine NAT Instanz oder über erforderlich AWS Direct Connect.

Ein VPC Endpunkt für Amazon S3 ist eine logische Einheit innerhalb einerVPC, die nur Konnektivität zu Amazon S3 ermöglicht. Der VPC Endpunkt leitet Anfragen an Amazon S3 weiter und leitet Antworten zurück an denVPC. VPCEndpunkte ändern nur die Art und Weise, wie Anfragen weitergeleitet werden. Öffentliche Endpunkte und DNS Namen von Amazon S3 funktionieren weiterhin mit VPC Endpunkten. Wichtige Informationen zur Verwendung von VPC Endpunkten mit Amazon S3 finden Sie unter Gateway-Endpunkte und Gateway-Endpunkte für Amazon S3 im VPC Benutzerhandbuch.

VPCEndpunkte für Amazon S3 bieten zwei Möglichkeiten, den Zugriff auf Ihre Amazon S3 S3-Daten zu kontrollieren:

Beschränken Sie den Zugriff auf einen bestimmten Endpunkt VPC

Im Folgenden finden Sie ein Beispiel für eine Amazon S3 S3-Bucket-Richtlinie, die den Zugriff auf einen bestimmten Bucket nur vom VPC Endpunkt mit der ID vpce-1a2b3c4d aus einschränkt. awsexamplebucket1 Wenn der angegebene Endpunkt nicht verwendet wird, verweigert die Richtlinie jeglichen Zugriff auf den Bucket. Die aws:SourceVpce Bedingung gibt den Endpunkt an. Die aws:SourceVpce Bedingung erfordert keinen Amazon-Ressourcennamen (ARN) für die VPC Endpunktressource, sondern nur die VPC Endpunkt-ID. Weitere Informationen über die Verwendung von Bedingungen in einer Richtlinie finden Sie unter Beispiele für Bucket-Richtlinien mit Bedingungsschlüsseln.

{
   "Version": "2012-10-17",
   "Id": "Policy1415115909152",
   "Statement": [
     {
       "Sid": "Access-to-specific-VPCE-only",
       "Principal": "*",
       "Action": "s3:*",
       "Effect": "Deny",
       "Resource": ["arn:aws:s3:::awsexamplebucket1",
                    "arn:aws:s3:::awsexamplebucket1/*"],
       "Condition": {
         "StringNotEquals": {
           "aws:SourceVpce": "vpce-1a2b3c4d"
         }
       }
     }
   ]
}

Beschränken Sie den Zugriff auf einen bestimmten VPC

Mithilfe der Bedingung können Sie eine Bucket-Richtlinie erstellen, die den Zugriff auf eine bestimmte VPC Kategorie einschränkt. aws:SourceVpc Dies ist nützlich, wenn Sie mehrere VPC Endgeräte auf demselben VPC Gerät konfiguriert haben und den Zugriff auf Ihre Amazon S3 S3-Buckets für all Ihre Endgeräte verwalten möchten. Im Folgenden finden Sie ein Beispiel für eine Richtlinie, die Dritten den Zugriff auf awsexamplebucket1 und ihre Objekte verweigert. VPC vpc-111bbb22 Wenn die angegebene Option VPC nicht verwendet wird, verweigert die Richtlinie jeglichen Zugriff auf den Bucket. Diese Anweisung gewährt keinen Zugriff auf den Bucket. Um Zugriff zu gewähren, müssen Sie eine separate Allow Erklärung hinzufügen. Für den vpc-111bbb22 Bedingungsschlüssel ist kein ARN für die VPC Ressource erforderlich, sondern nur die VPC ID.

{
   "Version": "2012-10-17",
   "Id": "Policy1415115909153",
   "Statement": [
     {
       "Sid": "Access-to-specific-VPC-only",
       "Principal": "*",
       "Action": "s3:*",
       "Effect": "Deny",
       "Resource": ["arn:aws:s3:::awsexamplebucket1",
                    "arn:aws:s3:::awsexamplebucket1/*"],
       "Condition": {
         "StringNotEquals": {
           "aws:SourceVpc": "vpc-111bbb22"
         }
       }
     }
   ]
}