Autorisations

Les points d'accès multi-régions Amazon S3 peuvent simplifier l'accès aux données pour les compartiments Amazon S3 dans plusieurs Régions AWS. Les points d'accès multi-régions sont des points de terminaison mondiaux nommés que vous pouvez utiliser pour effectuer des opérations sur les objets d'accès aux données Amazon S3, telles que GetObject et PutObject. Chaque point d'accès multi-régions peut comporter des autorisations et des contrôles de réseau distincts pour toute requête effectuée par le point de terminaison global.

Chaque point d'accès multi-régions peut également appliquer une stratégie d'accès personnalisée qui fonctionne conjointement avec la politique de compartiment attachée au compartiment sous-jacent. Pour qu'une demande aboutisse, tous les éléments suivants doivent autoriser l'opération :

Vous pouvez configurer toute politique de point d'accès multi-régions pour qu'elle n'accepte que les requêtes provenant d'utilisateurs ou de groupes IAM spécifiques. Pour obtenir un exemple de la manière de procéder, consultez l'exemple 2 dans Exemples de politique de point d'accès multi-régions. Pour limiter l'accès aux données Amazon S3 à un réseau privé, vous pouvez configurer la politique de point d'accès multi-régions pour accepter les requêtes provenant uniquement d'un cloud privé virtuel (VPC).

Par exemple, supposons que vous créez une requête GetObject via un point d'accès multi-Régions à l'aide d'un utilisateur appelé AppDataReader dans votre compte AWS. Pour vous assurer que la demande ne sera pas refusée, l'utilisateur AppDataReader doit se voir accorder l'autorisation s3:GetObject par le point d'accès multi-Régions et par chaque compartiment sous-jacent au point d'accès multi-Régions. AppDataReader ne sera pas en mesure de récupérer des données d'un compartiment qui n'octroie pas cette autorisation.

Gestion de l'accès public vers un point d'accès multi-Régions

Les points d'accès multi-Régions prennent en charge des paramètres de blocage d’accès public indépendants pour chaque point d'accès multi-Régions. Lorsque vous créez un point d'accès multi-Régions, vous pouvez indiquer les paramètres de blocage d’accès public qui s'appliquent à ce point d'accès multi-Régions.

Pour toute requête effectuée par le biais d'un point d'accès multi-régions, Amazon S3 évalue les paramètres de blocage de l'accès public pour les éléments suivants :

Si l'un de ces paramètres indique que la demande doit être bloquée, Amazon S3 rejettera la demande. Pour en savoir de plus sur le blocage de l'accès public Amazon S3, consultez Blocage de l’accès public à votre stockage Amazon S3.

Affichage des paramètres de blocage d'accès public pour un point d'accès multi-régions

Utilisation d'une politique de point d'accès multi-régions

L'exemple suivant de politique de point d'accès multi-régions accorde à un utilisateur IAM l'accès à la liste et au téléchargement de fichiers depuis votre point d'accès multi-régions. Pour utiliser cet exemple de politique, remplacez user input placeholders par vos propres informations.

 {
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Principal":{
            "AWS":"arn:aws:iam::123456789012:user/JohnDoe" 
         },
         "Action":[
            "s3:ListBucket",
            "s3:GetObject"
         ],
         "Resource":[
            "arn:aws:s3::111122223333:accesspoint/MultiRegionAccessPoint_alias",
            "arn:aws:s3::111122223333:accesspoint/MultiRegionAccessPoint_alias/object/*"
         ]
      }
   ]
}

Pour associer votre politique de point d'accès multi-régions au point d'accès multi-régions spécifié avec AWS Command Line Interface (AWS CLI), utilisez la commande put-multi-region-access-point-policy suivante. Pour utiliser cet exemple de commande, remplacez user input placeholders par vos propres informations. Chaque point d'accès multi-régions ne peut avoir qu'une seule politique, donc une demande faite à l'action put-multi-region-access-point-policy remplace toute politique existante associée au point d'accès multi-régions spécifié.

Pour interroger les résultats de l'opération précédente, utilisez la commande suivante :

Pour récupérer votre politique de point d'accès multi-régions, utilisez la commande suivante :

Modification de la politique de point d'accès multi-régions

La politique de point d'accès multi-régions (écrite en JSON) fournit un accès de stockage aux compartiments Amazon S3 qui sont utilisés avec ce point d'accès multi-régions. Vous pouvez autoriser ou empêcher des principaux spécifiques d'effectuer diverses actions sur votre point d'accès multi-régions. Lorsqu'une requête est routée vers un compartiment via le point d'accès multi-régions, les stratégies d'accès du point d'accès multi-régions et du compartiment s'appliquent. La stratégie d'accès la plus restrictive a toujours la priorité.

Après avoir appliqué une politique de point d'accès multi-régions, la politique ne peut pas être supprimée. Vous pouvez soit modifier la politique, soit créer une nouvelle politique qui écrase la politique existante.

Exemples de politique de point d'accès multi-régions

Les points d'accès multi-régions Amazon S3 prennent en charge les politiques de ressources AWS Identity and Access Management (IAM). Ces politiques peuvent contrôler l'utilisation du point d'accès multi-régions par ressource, par utilisateur ou d'autres conditions. Pour qu'une application ou un utilisateur puisse accéder à des objets par le biais d'un point d'accès multi-régions, le point d'accès multi-régions et le compartiment sous-jacent doivent tous deux permettre le même accès.

Pour autoriser le même accès à la fois au point d'accès multi-régions et au compartiment sous-jacent, effectuez l'une des opérations suivantes :

{
    "Version": "2012-10-17",
    "Statement" : [
    {
        "Effect": "Allow",
        "Principal" : { "AWS": "*" },
        "Action" : "*",
        "Resource" : [ "Bucket ARN", "Bucket ARN/*"],
        "Condition": {
            "StringEquals" : { "s3:DataAccessPointArn" : "MultiRegionAccessPoint_ARN" }
        }
    }]
}

{
  "Version":"2012-10-17",
  "Statement": [
    {
       "Effect": "Allow",
       "Principal": {
          "AWS":"arn:aws:iam::123456789012:user/JohnDoe"
       },
       "Action":[
          "s3:ListBucket",
          "s3:GetObject"
       ],
       "Resource":[ 
          "MultiRegionAccessPoint_ARN",
          "MultiRegionAccessPoint_ARN/object/*"
       ]
     }
  ]
}

{
   "Version":"2012-10-17",
   "Statement": [
      {
       "Effect": "Allow",
       "Principal": {
        "AWS": "arn:aws:iam::123456789012:user/JohnDoe"
        },
        "Action": "s3:ListBucket",
        "Resource": "MultiRegionAccessPoint_ARN"
       }
    ]
}