View a markdown version of this page

Restringir el acceso a un origen de un punto de acceso de varias regiones de Amazon S3 - Amazon CloudFront
Requisitos previosConcesión de permiso de CloudFront para acceder al punto de acceso de varias regiones de S3Concesión de permiso a CloudFront para acceder a los buckets de S3 subyacentesCreación del control de acceso de origenComportamiento de firma

Restringir el acceso a un origen de un punto de acceso de varias regiones de Amazon S3

Puede utilizar el control de acceso al origen (OAC) para restringir el acceso a un origen de un punto de acceso de varias regiones de Amazon S3. Los puntos de acceso de varias regiones de S3 proporcionan un punto de conexión global que realiza el enrutamiento de las solicitudes al bucket de S3 más cercano en función de la latencia de la red.

nota

El OAC con puntos de acceso multirregionales de S3 no es compatible con los puntos de conexión de MRAP respaldados por buckets en regiones registradas. Las solicitudes que se enruten a un bucket en una región registrada producirán un error. Todos los buckets asociados al punto de acceso multirregional deben estar en regiones habilitadas de forma predeterminada.

Para obtener información sobre cómo utilizar OAC con un bucket de Amazon S3 estándar como origen, consulte Restricción del acceso a un origen de Amazon S3.

Requisitos previos

Antes de crear y configurar OAC, debe disponer de una distribución de CloudFront con un origen de punto de acceso de varias regiones de Amazon S3. El nombre de dominio de origen debe seguir el formato de nombre de host del punto de acceso de varias regiones de S3:

multi-region-access-point-alias.accesspoint.s3-global.amazonaws.com

Para obtener más información sobre cómo crear un punto de acceso de varias regiones de S3, consulte la sección Creación de puntos de acceso de varias regiones en la Guía del usuario de Amazon Simple Storage Service.

Concesión de permiso de CloudFront para acceder al punto de acceso de varias regiones de S3

Actualice la política de punto de acceso de varias regiones para permitir que la entidad principal de servicio de CloudFront (cloudfront.amazonaws.com) acceda al punto de acceso de varias regiones. Utilice un elemento Condition en la política para permitir que CloudFront acceda al punto de acceso de varias regiones solo cuando la solicitud sea en nombre de la distribución de CloudFront que contiene el origen.

Para obtener información sobre cómo añadir o modificar una política de punto de acceso de varias regiones, consulte los ejemplos de políticas de punto de acceso de varias regiones en la Guía del usuario de Amazon Simple Storage Service.

ejemplo Política de punto de acceso de varias regiones en OAC de CloudFront
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCloudFrontOACAccess",
            "Effect": "Allow",
            "Principal": {
                "Service": "cloudfront.amazonaws.com"
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3::111122223333:accesspoint/Multi-Region-Access-Point-Alias.mrap/object/*",
            "Condition": {
                "StringEquals": {
                    "aws:SourceArn": "arn:aws:cloudfront::111122223333:distribution/CloudFront distribution ID"
                }
            }
        }
    ]
}

Concesión de permiso a CloudFront para acceder a los buckets de S3 subyacentes

Además de la política de punto de acceso de varias regiones, también debe conceder a CloudFront permiso para acceder a cada uno de los buckets de S3 subyacentes asociados al punto de acceso de varias regiones. Puede hacerlo de una de las dos formas siguientes:

importante

Debe añadir esta política de bucket a todos los buckets de S3 asociados al punto de acceso de varias regiones. Si algún bucket no cumple con la política, se rechazarán las solicitudes de enrutamiento de CloudFront dirigidas a dicho bucket.

Opción 1: Conceder el acceso solo a CloudFront

Añada una política de bucket a cada bucket de S3 que permita a la entidad principal de servicio de CloudFront acceder al bucket. Utilice esta opción cuando también necesite permitir el acceso directo al bucket desde otras fuentes.

ejemplo Política de bucket de S3 para un bucket subyacente
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCloudFrontOACAccessViaMRAP",
            "Effect": "Allow",
            "Principal": {
                "Service": "cloudfront.amazonaws.com"
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket-us-east-1/*",
            "Condition": {
                "StringEquals": {
                    "aws:SourceArn": "arn:aws:cloudfront::111122223333:distribution/CloudFront distribution ID"
                }
            }
        }
    ]
}

Opción 2: Delegar el acceso completo del bucket al punto de acceso de varias regiones

Conceda al punto de acceso de varias regiones acceso completo a cada bucket subyacente. Con este enfoque, todo el acceso al bucket queda regulado por la política de punto de acceso de varias regiones, lo que simplifica la administración del acceso. Recomendamos esta opción para aquellos casos en los que no se requiere acceso directo al bucket.

ejemplo Política de bucket de S3 que delega el acceso al punto de acceso de varias regiones
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DelegateAccessToMRAP",
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket-us-east-1",
                "arn:aws:s3:::amzn-s3-demo-bucket-us-east-1/*"
            ],
            "Condition": {
                "StringEquals": {
                    "s3:DataAccessPointArn": "arn:aws:s3::111122223333:accesspoint/Multi-Region-Access-Point-Alias.mrap"
                }
            }
        }
    ]
}

Para obtener más información, consulte el ejemplo de política de puntos de acceso de varias regiones en la Guía del usuario de Amazon Simple Storage Service.

SSE-KMS

Si los objetos de los buckets de S3 subyacentes se cifran mediante el cifrado del lado del servidor con AWS KMS (SSE-KMS), debe asegurarse de que la distribución de CloudFront tenga permiso para utilizar la clave de AWS KMS. Dado que los puntos de acceso de varias regiones de S3 pueden realizar el enrutamiento de las solicitudes a buckets en varias regiones, debe añadir una instrucción a la política de claves de KMS en cada región en la que un bucket subyacente utilice SSE-KMS. Para obtener información sobre cómo modificar una política de claves, consulte Modificación de una política de claves en la Guía del desarrollador de AWS Key Management Service.

ejemplo Instrucción de política de claves de KMS

El siguiente ejemplo muestra una declaración de política de claves de KMS que permite a la distribución de CloudFront con OAC acceder a una clave de KMS para SSE-KMS.

{
    "Sid": "AllowCloudFrontServicePrincipalSSE-KMS",
    "Effect": "Allow",
    "Principal": {
        "Service": "cloudfront.amazonaws.com"
    },
    "Action": [
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:GenerateDataKey*"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "aws:SourceArn": "arn:aws:cloudfront::111122223333:distribution/CloudFront distribution ID"
        }
    }
}
importante

Debe añadir esta instrucción de política de claves a la clave de KMS en todas las regiones en las que un bucket de S3 subyacente utilice el cifrado SSE-KMS.

Creación del control de acceso de origen

Para crear un control de acceso de origen (OAC), puede utilizar la Consola de administración de AWS, CloudFormation, la AWS CLI o la API de CloudFront.

nota

Los desencadenadores de solicitudes de origen de Lambda@Edge son incompatibles con los orígenes que utilizan un OAC de SigV4a, ya sea que se acceda al origen directamente o a través de un grupo de orígenes.

Console
Para crear un control de acceso de origen

  1. Inicie sesión en la Consola de administración de AWS y abra la consola de CloudFront en https://console.aws.amazon.com/cloudfront/v4/home.

  2. En el panel de navegación, elija Origin access (Acceso de origen).

  3. Elija Create control setting (Crear configuración de control).

  4. En el formulario Create control setting (Crear configuración de control), haga lo siguiente:

    1. En el panel Details (Detalles), ingrese un valor para Name (Nombre) y (opcionalmente) para Description (Descripción) para el control de acceso de origen.

    2. En el panel Settings (Configuración), le recomendamos que deje la configuración predeterminada Sign requests (recommended) (Firmar solicitudes [recomendado]). Para obtener más información, consulte Configuración avanzada para el control de acceso de origen.

  5. Elija S3 en el menú desplegable de tipo de origen y seleccione la opción Usar el protocolo de firma de SigV4a.

  6. Seleccione Crear.

    Una vez creado el OAC, anote el valor de Name (Nombre). Lo necesita en el siguiente procedimiento.

Para añadir un control de acceso de origen a un origen de punto de acceso de varias regiones de S3 en una distribución

  1. Abra la consola de CloudFront en https://console.aws.amazon.com/cloudfront/v4/home.

  2. Elija una distribución con un origen de punto de acceso de varias regiones de S3 a la que desee agregar el OAC y, a continuación, elija la pestaña Orígenes.

  3. Seleccione el origen de punto de acceso de varias regiones de S3 al que desea agregar el OAC y, a continuación, elija Editar.

  4. En la sección Acceso de origen, elija (Configuración del control de acceso de origen (recomendado).

  5. En el menú desplegable Origin access control (Control de acceso de origen), elija el OAC que desee utilizar.

  6. Seleccione Save changes (Guardar cambios).

La distribución comienza a implementarse en todas las ubicaciones periféricas de CloudFront. Cuando una ubicación periférica recibe la nueva configuración, firma todas las solicitudes que envía al origen de punto de acceso de varias regiones de S3.

CLI

Utilice el comando create-origin-access-control:

aws cloudfront create-origin-access-control \
    --origin-access-control-config '{
        "Name": "my-s3-mrap-oac",
        "Description": "OAC for S3 Multi-Region Access Point",
        "SigningProtocol": "sigv4a",
        "SigningBehavior": "always",
        "OriginAccessControlOriginType": "s3"
    }'
CloudFormation

Especifique los siguientes valores en la OriginAccessControlConfig:

  • SigningProtocol: sigv4a

  • SigningBehavior: always, never, o bien no-override

  • OriginAccessControlOriginType: s3

ejemplo CloudFormationPlantilla de
Type: AWS::CloudFront::OriginAccessControl
Properties:
  OriginAccessControlConfig:
    Description: An optional description for the origin access control
    Name: my-s3-mrap-oac
    OriginAccessControlOriginType: s3
    SigningBehavior: always
    SigningProtocol: sigv4a

Comportamiento de firma

Las opciones de comportamiento de firma para los orígenes de punto de acceso de varias regiones de S3 son las mismas que las de los orígenes de buckets normales de Amazon S3. Para obtener más información, consulte Configuración avanzada para el control de acceso de origen en Restricción del acceso a un origen de Amazon S3.