Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Konfiguration des Netzwerkzugriffs für Amazon S3-Zugangspunkte

Wenn Sie einen Amazon S3-Zugangspunkt für ein FSx for ONTAP-Volume erstellen, konfigurieren Sie, wie der Access Point über das Netzwerk erreicht werden kann und wer ihn verwenden darf. Dieser Abschnitt hilft Ihnen bei der Auswahl der richtigen Netzwerk- und Zugriffskontrollkonfiguration für Ihre Umgebung.

In diesem Abschnitt werden die Netzwerk- und IAM-Autorisierungsebenen behandelt, insbesondere der Netzwerkursprung des Access Points, VPC-Endpoints, VPC-Endpunktrichtlinien, IAM-Identitätsrichtlinien und Dienststeuerungsrichtlinien. Hinweise zur Autorisierung auf Dateisystemebene (UNIX- und Windows-Benutzerberechtigungen) finden Sie unter. Benutzeridentität und Autorisierung des Dateisystems

Wie bewertet Amazon S3 Access-Point-Anfragen

Wenn eine Anfrage über einen Amazon S3-Zugangspunkt gestellt wird, der an ein FSx for ONTAP-Volume angeschlossen ist, muss die Anfrage von allen folgenden Ebenen autorisiert werden:

Die Überprüfung der Netzwerkherkunft erfolgt vor der Bewertung der Richtlinien. Die verbleibenden Ebenen werden im Rahmen der standardmäßigen IAM-Autorisierungsentscheidung zusammen bewertet. Ein explizites Deny in einer beliebigen Ebene überschreibt Allow-Anweisungen in anderen Ebenen.

Auswahl eines Netzwerkursprungs

Wenn Sie einen Amazon S3-Zugangspunkt erstellen, wählen Sie einen Netzwerkursprung, der bestimmt, wie der Access Point erreicht werden kann. Sie können den Netzwerkursprung nach der Erstellung nicht ändern.

Herkunft aus dem Internet

Ein Access Point mit Ursprung im Internetnetzwerk ähnelt dem standardmäßigen Zugriff auf S3-Buckets. Für alle Anfragen sind weiterhin gültige IAM-Anmeldeinformationen und eine Autorisierung erforderlich. Internetherkunft bedeutet nicht öffentlichen oder anonymen Zugriff. Amazon S3 erzwingt die Sperrung des öffentlichen Zugriffs auf allen Access Points, die an FSx für ONTAP-Volumes angeschlossen sind, und Sie können diese Einstellung nicht deaktivieren.

Da authentifizierte Anfragen aus dem Internet stammen, können sie von überall kommen — von VPCs, lokalen Netzwerken, anderen AWS Konten oder dem öffentlichen Internet. Mithilfe der Access Point Policy und der IAM-Identitätsrichtlinien steuern Sie, welche authentifizierten Anrufer zugelassen sind.

Bei Internet Origin steuern Sie den Zugriff mithilfe der Access Point-Richtlinie und der IAM-Identitätsrichtlinien. Verwenden Sie für Anrufer mit demselben Konto explizite Deny-Anweisungen in der Access Point-Richtlinie, um den Zugriff einzuschränken. Eine Allow-only Richtlinie reicht nicht aus, da die IAM-Identitätsrichtlinie des Anrufers den Zugriff unabhängig gewähren kann. Bei kontoübergreifenden Anrufern muss die Zugriffspunkt-Richtlinie die Anfrage explizit zulassen, sodass das Auslassen von Allow ausreichend ist, um den Zugriff zu blockieren.

VPC-Ursprung

Ein Access Point mit einem VPC-Netzwerkursprung ist an eine bestimmte VPC gebunden und verhält sich quasi wie eine explizite Deny-Policy-Anweisung, die jede Anfrage ablehnt, die nicht mit der gebundenen VPC aws:SourceVpc übereinstimmt. Da eine explizite Absage immer Vorrang vor allen Zulassungen hat, kann selbst eine vollständig zulässige Zugriffspunktrichtlinie oder IAM-Identitätsrichtlinie keinen Zugriff auf Anfragen von außerhalb der gebundenen VPC gewähren.

Anrufer außerhalb der gebundenen VPC können weiterhin auf den Access Point zugreifen, wenn ihr Datenverkehr über einen VPC-Endpunkt in der gebundenen VPC geleitet wird — beispielsweise über VPC-Peering oder Transit Gateway zu einem Amazon S3-Interface-Endpunkt, der in der gebundenen VPC bereitgestellt wird.

Die wichtigsten Unterschiede:

So funktioniert die VPC-Ursprungsdurchsetzung

Wenn ein Access Point einen VPC-Netzwerkursprung hat, verhält er sich praktisch so, als ob es eine ausdrückliche Deny-Policy-Anweisung gäbe, die alle Anfragen ablehnt, die aws:SourceVpc nicht der in der VPC-ID des Access Points angegebenen VPC-ID entsprechen. VpcConfiguration Diese Ablehnung gilt für alle Principals, alle Amazon S3-Aktionen und alle Ressourcen innerhalb des Access Points.

Da es sich um ein explizites Deny handelt, überschreibt es alle Allow-Anweisungen — ob in der Access Point-Richtlinie, der IAM-Identitätsrichtlinie des Anrufers oder einer anderen Richtlinie.

In der Praxis bedeutet das:

Dies ist auch der Grund, warum in der Fehlermeldung für abgelehnte Anfragen „explizite Ablehnung in einer ressourcenbasierten Richtlinie“ steht.

VPC-Ursprung im Vergleich zum Internet-Ursprung mit einer expliziten Ablehnung

Ein VPC-origin Access Point und ein Access Point mit einem manuell geschriebenen StringNotEquals aws:SourceVpc Deny erzielen ein ähnliches Ergebnis — beide lehnen Anfragen ab, die nicht von der angegebenen VPC stammen. Der entscheidende Unterschied ist:

Verwendung von VPC-Endpunkten mit Amazon S3-Zugriffspunkten

Amazon S3-Zugangspunkte funktionieren mit beiden Arten von VPC-Endpunkten für Amazon S3. Welchen Endpunkttyp Sie benötigen, hängt davon ab, wo sich Ihre Anrufer befinden.

Gateway-Endpunkte

Gateway-Endpunkte sind kostenlos und basieren auf Routing-Tabellen. Wenn Sie einen Gateway-Endpunkt erstellen, wird den angegebenen Routentabellen eine Route hinzugefügt, die den Amazon S3-Verkehr durch den Endpunkt leitet. Diese Route gilt nur für Datenverkehr, der aus der VPC stammt.

Verwenden Sie Gateway-Endpunkte für:

Gateway-Endpunkte leiten keinen Datenverkehr weiter, der in die VPC eingeht von:

Weitere Informationen finden Sie unter Gateway-Endpunkte für Amazon S3 im Amazon VPC-Benutzerhandbuch.

Schnittstellenendpunkte

Schnittstellenendpunkte erstellen eine elastische Netzwerkschnittstelle (ENI) mit einer privaten IP-Adresse in Ihrem Subnetz. Der Datenverkehr muss explizit an den DNS-Namen oder die private IP des Endpunkts weitergeleitet werden.

Verwenden Sie Interface-Endpunkte für:

Bei Verwendung eines Interface-Endpunkts müssen Anrufer entweder:

Für Schnittstellenendpunkte fallen Gebühren pro Stunde und pro GB an. Weitere Informationen finden Sie unter AWS PrivateLink Preise.

Verwenden Sie beide Endpunkttypen zusammen

Sie können sowohl einen Gateway-Endpunkt als auch einen Interface-Endpunkt in derselben VPC bereitstellen. Diese Konfiguration ist nützlich, wenn Sie sowohl interne VPC-Anrufer als auch lokale Anrufer haben:

Beide Endpunkttypen füllen das aws:SourceVpc Attribut mit der VPC-ID auf, sodass beide die VPC-Ursprungs-Deny-Bedingung erfüllen.

VPC-Endpunktrichtlinien

VPC-Endpunktrichtlinien steuern, auf welche Amazon S3-Ressourcen über den Endpunkt zugegriffen werden kann. Standardmäßig erlaubt ein VPC-Endpunkt alle Amazon S3-Aktionen auf allen Ressourcen. Sie können die Endpunktrichtlinie so festlegen, dass nur bestimmte Zugriffspunkte zulässig sind:

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point",
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point/object/*"
            ]
        }
    ]
}

Zugangspunktrichtlinien

Ressourcenrichtlinien zur Unterstützung von Amazon S3 Access Points AWS Identity and Access Management (IAM), mit denen Sie die Nutzung des Access Points nach Ressourcen, Benutzern oder anderen Bedingungen steuern können. Für den kontoübergreifenden Zugriff müssen sowohl die Access Point-Richtlinie als auch die IAM-Identitätsrichtlinie des Anrufers die Anfrage zulassen. Für den Zugriff über dasselbe Konto kann entweder die Access Point-Richtlinie oder die IAM-Identitätsrichtlinie des Anrufers unabhängig voneinander den Zugriff gewähren. Um Anrufer mit demselben Konto einzuschränken, verwenden Sie in der Zugriffspunkt-Richtlinie explizite Deny-Anweisungen. Wenn die Anforderung einen VPC-Endpunkt durchläuft, muss die VPC-Endpunktrichtlinie die Anforderung ebenfalls zulassen.

Weitere Informationen zu Access Point-Richtlinien finden Sie unter Konfiguration von IAM-Richtlinien für die Verwendung von Access Points im Amazon Simple Storage Service-Benutzerhandbuch.

Bedingungsschlüssel für die netzwerkbasierte Zugriffskontrolle

IAM stellt globale Bedingungsschlüssel bereit, die Sie in Zugriffspunktrichtlinien verwenden können, um den Zugriff auf der Grundlage der Netzwerkeigenschaften der Anforderung zu steuern. Diese Bedingungsschlüssel sind nur unter bestimmten Umständen im Anforderungskontext enthalten, wie in der folgenden Tabelle beschrieben.

Weitere Informationen zu globalen IAM-Bedingungsschlüsseln finden Sie unter AWS Globale Bedingungskontextschlüssel im IAM-Benutzerhandbuch.

Beispielszenarien

Die folgenden Beispielszenarien zeigen gängige Konfigurationen für Amazon S3-Zugangspunkte, die an FSx für ONTAP-Volumes angeschlossen sind. Jedes Szenario umfasst den empfohlenen Netzwerkursprung, den VPC-Endpunkttyp und die Access Point-Richtlinie.

Einzelner VPC-Zugriff

Anwendungsfall: Amazon EC2-Instances, Lambda-Funktionen oder Amazon ECS-Aufgaben innerhalb einer einzigen VPC greifen auf den Access Point zu. Kein externer Zugriff erforderlich.

Mit VPC-Netzwerkursprung:

Die VPC-Ausgangskonfiguration lehnt effektiv Anfragen ab, die aws:SourceVpc nicht mit der gebundenen VPC übereinstimmen. Anfragen von anderen VPCs, dem Internet oder lokalen Netzwerken werden abgelehnt. Sie können entweder einen Gateway- oder einen Interface-Amazon S3-VPC-Endpunkt verwenden.

Beispiel für eine Zugriffspunktrichtlinie (VPC-Ursprung): Bei VPC-Ursprung ist die Netzwerkeinschränkung integriert. Die Access Point-Richtlinie muss nur die gewünschten Berechtigungen gewähren.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {"AWS": "arn:aws:iam::123456789012:role/my-app-role"},
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point",
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point/object/*"
            ]
        }
    ]
}

Mit Ursprung im Internetnetzwerk:

Bei der Verwendung von Internet Origin schränken Sie den Zugriff auf die VPC mithilfe von aws:SourceVpc Bedingungen in der Access Point-Richtlinie ein (mit einer expliziten Ablehnung). Ein VPC-Endpunkt ist erforderlich, damit dieser bei der aws:SourceVpc Anfrage aufgefüllt wird.

Beispiel für eine Zugriffspunktrichtlinie (Herkunft aus dem Internet): Die Richtlinie umfasst sowohl eine Option „Zulassen“ mit einer VPC-Bedingung als auch eine „Ablehnen“ für Anfragen, die nicht von der VPC stammen.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {"AWS": "arn:aws:iam::123456789012:role/my-app-role"},
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point",
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point/object/*"
            ],
            "Condition": {
                "StringEquals": {"aws:SourceVpc": "vpc-1a2b3c4d"}
            }
        },
        {
            "Effect": "Deny",
            "Principal": "*",
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point",
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point/object/*"
            ],
            "Condition": {
                "StringNotEquals": {"aws:SourceVpc": "vpc-1a2b3c4d"}
            }
        }
    ]
}

On-premises und VPC-Zugriff

Anwendungsfall: Sowohl lokale Benutzer (über VPN oder Direct Connect) als auch interne VPC-Rechenressourcen greifen auf den Access Point zu. Der gesamte Datenverkehr bleibt privat.

Sowohl der Gateway-Endpunkt (interner VPC-Verkehr) als auch der Schnittstellenendpunkt (lokaler Verkehr) befinden sich in derselben VPC, sodass beide die VPC-Ursprungs-Deny-Bedingung erfüllen.

Multi-VPC Zugriff

Anwendungsfall: Anrufer in mehreren VPCs müssen auf denselben Access Point zugreifen. Zum Beispiel Anwendungen in separaten VPCs innerhalb desselben Kontos oder VPCs in verschiedenen Konten, die über VPC-Peering oder Transit Gateway verbunden sind.

Für den Zugriff mit mehreren VPC gibt es zwei Möglichkeiten, je nachdem, ob Sie richtlinienbasierte Kontrollen oder die Durchsetzung durch das VPC-Ursprungsnetzwerk verwenden möchten.

Option 1: Internet-Ursprung mit einem Gateway-Endpunkt in jeder VPC

Jede VPC hat ihren eigenen Amazon S3 Gateway-Endpunkt. Anrufer in jeder VPC greifen über ihren lokalen Gateway-Endpunkt auf den Access Point zu, der bei der Anfrage mit Daten gefüllt wird. aws:SourceVpc Die Access Point-Richtlinie schränkt den Zugriff auf die erlaubten VPC-IDs ein.

Diese Option ist einfacher einzurichten, da jede VPC unabhängig arbeitet — es sind kein VPC-Peering oder Transit Gateway erforderlich. Um VPCs hinzuzufügen oder zu entfernen, aktualisieren Sie die Access Point-Richtlinie.

Option 2: VPC-Ursprung mit einem zentralisierten Schnittstellenendpunkt

Eine VPC hostet einen Amazon S3-Interface-Endpunkt, und der Access Point wird erstellt, wobei der VPC-Ursprung an diese VPC gebunden ist. Andere VPCs leiten ihren Amazon S3-Verkehr über VPC-Peering oder Transit Gateway zum Interface-Endpunkt weiter. Da alle Anfragen über einen Endpunkt in der gebundenen VPC eingehen, erfüllen sie die VPC-Ursprungsdurchsetzung.

Diese Option sorgt für eine stärkere Durchsetzung, da die VPC-Ursprungsbeschränkung nicht durch Richtlinienänderungen umgangen werden kann. Sie erfordert jedoch VPC-Peering oder Transit Gateway-Konnektivität, und für den Schnittstellenendpunkt fallen Gebühren pro Stunde und pro GB an. Weitere Informationen zu Interface-Endpunkten finden Sie unter AWS PrivateLink Amazon S3 im Amazon Simple Storage Service-Benutzerhandbuch.

Behebung von Problemen mit dem Netzwerkzugriff

Wenn eine Amazon S3 Access Point-Anfrage fehlschlägt, gibt die Fehlermeldung oft nicht an, welche Autorisierungsebene die Anfrage abgelehnt hat. Verwenden Sie die folgenden Anleitungen, um häufig auftretende Probleme zu diagnostizieren.

AccessDenied mit „ausdrückliches Ablehnen in einer ressourcenbasierten Richtlinie“

Dieser Fehler kann aus mehreren Quellen stammen. Führen Sie die folgenden Prüfungen der Reihe nach durch:

1. Überprüfen Sie den VPC-Ursprung: Deny (nur VPC-origin Access Points)

Wenn der Access Point einen VPC-Netzwerkursprung hat, lehnt er effektiv Anfragen ab, die aws:SourceVpc nicht mit der gebundenen VPC übereinstimmen. Vergewissern Sie sich, dass folgende Bedingungen erfüllt sind:

2. Überprüfen Sie die VPC-Endpunktrichtlinie

Wenn die Anforderung einen VPC-Endpunkt durchläuft, muss die Richtlinie des Endpunkts die Aktion auf der Access Point-Ressource zulassen. Die Standard-Endpunktrichtlinie erlaubt alle Aktionen auf allen Ressourcen. Wenn Sie den Geltungsbereich der Richtlinie festgelegt haben, stellen Sie sicher, dass sie den Zugriffspunkt-ARN enthält.

3. Überprüfen Sie die Access Point-Richtlinie

Stellen Sie sicher, dass die Zugriffspunktrichtlinie den anfordernden Prinzipal zulässt. Suchen Sie nach Deny-Anweisungen mit Bedingungen, die der Anfrage entsprechen könnten.

4. Überprüfen Sie die IAM-Identitätsrichtlinie des Anrufers

Die IAM-Rolle oder der Benutzer des Anrufers muss über Berechtigungen verfügen, um die Amazon S3-Aktion auf dem ARN des Access Points auszuführen.

5. Überprüfen Sie die Service Control Policies (SCPs)

Wenn das Konto Teil einer AWS Organisationsorganisation ist, stellen Sie sicher, dass keine SCPs Amazon S3-Aktionen auf dem Access Point verweigern.

On-premises Anrufer erhalten, AccessDenied aber interne VPC-Anrufer sind erfolgreich

Dies bedeutet in der Regel, dass der lokale Datenverkehr nicht über einen VPC-Endpunkt geleitet wird:

Die Bedingungen der Access Point-Richtlinien scheinen keine Auswirkung zu haben