Gateway-Endpunkte für Amazon S3

Sie können von Ihren VPC VPC Gateway-Endpunkten aus auf Amazon S3 zugreifen. Nachdem Sie den Gateway-Endpunkt erstellt haben, können Sie ihn als Ziel in Ihrer Routentabelle für den Datenverkehr hinzufügen, der von Ihnen VPC zu Amazon S3 bestimmt ist.

Für die Nutzung von Gateway-Endpunkten fallen keine zusätzlichen Gebühren an.

Amazon S3 unterstützt sowohl Gateway-Endpunkte als auch Schnittstellenendpunkte. Mit einem Gateway-Endpunkt können Sie von Ihrem aus auf Amazon S3 zugreifenVPC, ohne ein Internet-Gateway oder ein NAT Gerät für Sie zu benötigenVPC, und ohne zusätzliche Kosten. Gateway-Endpunkte erlauben jedoch keinen Zugriff über lokale Netzwerke, über Peering-Netzwerke VPCs in anderen AWS Regionen oder über ein Transit-Gateway. Für diese Szenarien müssen Sie einen Schnittstellenendpunkt verwenden, der gegen Aufpreis verfügbar ist. Weitere Informationen finden Sie unter Arten von VPC Endpunkten für Amazon S3 im Amazon S3 S3-Benutzerhandbuch.

Überlegungen

Privat DNS

Sie können Private konfigurierenDNS, um die Kosten zu optimieren, wenn Sie sowohl einen Gateway-Endpunkt als auch einen Schnittstellen-Endpunkt für Amazon S3 erstellen.

Route 53 Resolver

Amazon stellt Ihnen einen DNS Server namens Route 53 Resolver zur VerfügungVPC. Der Route 53 Resolver löst automatisch lokale VPC Domainnamen und Datensätze in privaten Hosting-Zonen auf. Sie können den Route 53 Resolver jedoch nicht von außerhalb Ihres verwenden. VPC Route 53 bietet Resolver-Endpunkte und Resolver-Regeln, sodass Sie den Route 53 Resolver von außerhalb Ihres verwenden können. VPC Ein eingehender Resolver-Endpunkt leitet DNS Anfragen vom lokalen Netzwerk an den Route 53 Resolver weiter. Ein ausgehender Resolver-Endpunkt leitet DNS Anfragen vom Route 53 Resolver an das lokale Netzwerk weiter.

Wenn Sie Ihren Schnittstellenendpunkt für Amazon S3 so konfigurieren, dass Private DNS nur für den eingehenden Resolver-Endpunkt verwendet wird, erstellen wir einen Resolver-Endpunkt für eingehende Anrufe. Der Inbound-Resolver-Endpunkt löst DNS Anfragen an Amazon S3 von lokalen Standorten an die privaten IP-Adressen des Schnittstellenendpunkts auf. Wir fügen auch ALIAS Datensätze für den Route 53 Resolver zur öffentlich gehosteten Zone für Amazon S3 hinzu, sodass DNS Anfragen von Ihnen VPC an die öffentlichen IP-Adressen von Amazon S3 weitergeleitet werden, die den Datenverkehr an den Gateway-Endpunkt weiterleiten.

Privat DNS

Wenn Sie privat DNS für Ihren Schnittstellenendpunkt für Amazon S3 konfigurieren, aber nicht DNS nur privat für den eingehenden Resolver-Endpunkt konfigurieren, VPC verwenden Anfragen sowohl von Ihrem lokalen Netzwerk als auch von Ihnen den Schnittstellenendpunkt, um auf Amazon S3 zuzugreifen. Daher zahlen Sie für die Nutzung des Schnittstellenendpunkts für den Datenverkehr vomVPC, anstatt den Gateway-Endpunkt ohne zusätzliche Kosten zu verwenden.

DNSNur privat für den eingehenden Resolver-Endpunkt

Wenn Sie privat DNS nur für den eingehenden Resolver-Endpunkt konfigurieren, verwenden Anfragen aus Ihrem lokalen Netzwerk den Schnittstellenendpunkt, um auf Amazon S3 zuzugreifen, und Anfragen von Ihnen VPC verwenden den Gateway-Endpunkt, um auf Amazon S3 zuzugreifen. Daher optimieren Sie Ihre Kosten, da Sie für die Verwendung des Schnittstellenendpunkts nur für Datenverkehr zahlen, der den Gateway-Endpunkt nicht verwenden kann.

Privat konfigurieren DNS

Sie können privat DNS für einen Schnittstellenendpunkt für Amazon S3 konfigurieren, wenn Sie ihn erstellen oder nachdem Sie ihn erstellt haben. Weitere Informationen finden Sie unter VPC-Endpunkt erstellen (während der Erstellung konfigurieren) oder Aktivieren von privaten DNS-Namen (nach der Erstellung konfigurieren).

Erstellen eines Gateway-Endpunkts

Gehen Sie wie folgt vor, um einen Gateway-Endpunkt zu erstellen, der eine Verbindung zu Amazon S3 herstellt.

Zugriffssteuerung mithilfe von Bucket-Richtlinien

Sie können Bucket-Richtlinien verwenden, um den Zugriff auf Buckets von bestimmten EndpunktenVPCs, IP-Adressbereichen und aus zu steuern. AWS-Konten In diesen Beispielen wird davon ausgegangen, dass es auch Richtlinienanweisungen gibt, die den für Ihre Anwendungsfälle erforderlichen Zugriff zulassen.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow-access-to-specific-VPCE",
      "Effect": "Deny",
      "Principal": "*",
      "Action": ["s3:PutObject", "s3:GetObject", "s3:DeleteObject"],
      "Resource": ["arn:aws:s3:::bucket_name",
                   "arn:aws:s3:::bucket_name/*"],
      "Condition": {
        "StringNotEquals": {
          "aws:sourceVpce": "vpce-1a2b3c4d"
        }
      }
    }
  ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow-access-to-specific-VPC",
      "Effect": "Deny",
      "Principal": "*",
      "Action": ["s3:PutObject", "s3:GetObject", "s3:DeleteObject"],
      "Resource": ["arn:aws:s3:::example_bucket",
                   "arn:aws:s3:::example_bucket/*"],
      "Condition": {
        "StringNotEquals": {
          "aws:sourceVpc": "vpc-111bbb22"
        }
      }
    }
  ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow-access-to-specific-VPC-CIDR",
      "Effect": "Deny",
      "Principal": "*",
      "Action": ["s3:PutObject", "s3:GetObject", "s3:DeleteObject"],
      "Resource": ["arn:aws:s3:::bucket_name",
                   "arn:aws:s3:::bucket_name/*"],
      "Condition": {
        "NotIpAddress": {
          "aws:VpcSourceIp": "172.31.0.0/16"
        }
      }
    }
  ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow-access-to-bucket-in-specific-account",
      "Effect": "Deny",
      "Principal": "*",
      "Action": ["s3:GetObject", "s3:PutObject", "s3:DeleteObject"],
      "Resource": "arn:aws:s3:::*",
      "Condition": {
        "StringNotEquals": {
          "s3:ResourceAccount": "111122223333"
        }
      }
    }
  ]
}

Zuordnen von Routing-Tabellen

Sie können die Routing-Tabellen ändern, die dem Gateway-Endpunkt zugeordnet sind. Wenn Sie eine Routing-Tabelle zuordnen, fügen wir automatisch eine Route hinzu, die den für den Service bestimmten Datenverkehr auf die Netzwerkschnittstelle des Endpunkts verweist. Wenn Sie die Zuordnung einer Routing-Tabelle aufheben, entfernen wir die Endpunktroute automatisch aus der Routing-Tabelle.

Bearbeiten Sie die VPC Endpunktrichtlinie

Sie können die Endpunktrichtlinie für einen Gateway-Endpunkt bearbeiten, der den Zugriff auf Amazon S3 von VPC bis zum Endpunkt steuert. Die Standardrichtlinie lässt Vollzugriff zu. Weitere Informationen finden Sie unter Endpunktrichtlinien.

Nachfolgend sind Beispielendpunktrichtlinien für den Zugriff auf Amazon S3 aufgeführt.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow-access-to-specific-bucket",
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
         "s3:ListBucket",
         "s3:GetObject",
         "s3:PutObject"
      ],
      "Resource": [
        "arn:aws:s3:::bucket_name",
        "arn:aws:s3:::bucket_name/*"
      ]
    }
  ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow-access-to-specific-IAM-role",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "ArnEquals": {
          "aws:PrincipalArn": "arn:aws:iam::111122223333:role/role_name"
        }
      }
    }
  ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow-callers-from-specific-account",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalAccount": "111122223333"
        }
      }
    }
  ]
}

Löschen eines Gateway-Endpunkts

Wenn Sie einen Gateway-Endpunkt nicht mehr benötigen, können Sie ihn löschen. Wenn Sie einen Gateway-Endpunkt löschen, entfernen wir die Endpunktroute aus den Subnetz-Routing-Tabellen.

Sie können einen Gateway-Endpunkt nicht löschen, wenn Private aktiviert DNS ist.