Contrôle d’accès dans Amazon S3

Dans AWS, une ressource est une entité avec laquelle vous pouvez travailler. Dans Amazon Simple Storage Service (S3), les compartiments et les objets sont les ressources Amazon S3 d’origine. Tous les clients de S3 possèdent généralement des compartiments contenant des objets. Au fur et à mesure que de nouvelles fonctionnalités ont été ajoutées à S3, des ressources supplémentaires ont également été ajoutées, mais tous les clients n’utilisent pas ces ressources spécifiques aux fonctionnalités. Pour plus d’informations sur les ressources Amazon S3, consultez Ressources S3.

Par défaut, toutes les ressources Amazon S3 sont privées. Par défaut également, l’utilisateur racine du Compte AWS qui a créé la ressource (propriétaire de la ressource) et les utilisateurs IAM de ce compte disposant des autorisations nécessaires peuvent accéder à une ressource qu’ils ont créée. Le propriétaire de la ressource décide qui d’autre peut y accéder, ainsi que les actions que ces tiers sont autorisés à effectuer au niveau de cette ressource. S3 propose divers outils de gestion des accès que vous pouvez utiliser pour accorder à des tiers l’accès à vos ressources S3.

Les sections suivantes présentent un aperçu des ressources S3, des outils de gestion des accès S3 disponibles et des cas d’utilisation les plus adaptés à chaque outil de gestion des accès. Les listes de ces sections visent à être exhaustives et incluent toutes les ressources S3, tous les outils de gestion des accès et tous les cas d’utilisation courants liés à la gestion des accès. Dans le même temps, ces sections sont conçues pour être des répertoires qui vous mèneront aux détails techniques que vous souhaitez. Si vous comprenez bien certaines des rubriques suivantes, vous pouvez passer directement à la section qui vous concerne.

Pour plus d’informations sur les autorisations relatives aux opérations d’API S3 par type de ressource S3, consultez Autorisations requises pour les opérations d’API Amazon S3.

Rubriques

Ressources S3

Les ressources Amazon S3 d’origine sont les compartiments et les objets qu’ils contiennent. Au fur et à mesure que de nouvelles fonctionnalités sont ajoutées à S3, de nouvelles ressources sont également ajoutées. La liste suivante est une liste complète des ressources S3 et de leurs fonctionnalités respectives.

Compartiments

Il existe deux types de compartiments Amazon S3 : les compartiments à usage général et les compartiments de répertoires.

Catégorisation des ressources S3

Amazon S3 fournit des fonctionnalités permettant de catégoriser et d’organiser vos ressources S3. La catégorisation de vos ressources est non seulement utile pour les organiser, mais vous pouvez également définir des règles de gestion des accès en fonction des catégories de ressources. Plus spécifiquement, les préfixes et le balisage sont deux fonctionnalités d’organisation du stockage que vous pouvez utiliser lors de la définition des autorisations de gestion des accès.

Identités

Dans Amazon S3, le propriétaire de la ressource est l’identité qui a créé la ressource, telle qu’un compartiment ou un objet. Par défaut, seul l’utilisateur racine du compte qui a créé la ressource et les identités IAM du compte disposant de l’autorisation requise peuvent accéder à la ressource S3. Les propriétaires de ressources peuvent autoriser d’autres identités à accéder à leurs ressources S3.

Les identités qui ne possèdent pas une ressource peuvent demander l’accès à cette ressource. Les demandes adressées à une ressource sont soit authentifiées, soit non authentifiées. Les demandes authentifiées doivent inclure une valeur de signature qui authentifie l’expéditeur de la demande. Les demandes non authentifiées ne nécessitent pas de signature. Nous vous recommandons de n’accorder l’accès qu’aux utilisateurs authentifiés. Pour plus d’informations sur l’authentification des demandes, consultez Demandes dans la Référence d’API Amazon S3.

Les identités qui accèdent à vos données dans Amazon S3 peuvent être les suivantes :

Compte AWS owner

Celui Compte AWS qui a créé la ressource. Par exemple, le compte qui a créé le compartiment. Ce compte possède la ressource. Pour plus d’informations, consultez Utilisateur racine AWS.

Identités IAM dans le même compte que le propriétaire Compte AWS

Lors de la configuration de comptes pour les nouveaux membres de l'équipe qui ont besoin d'un accès S3, le Compte AWS propriétaire peut utiliser AWS Identity and Access Management (IAM) pour créer des utilisateurs, des groupes et des rôles. Le Compte AWS propriétaire peut ensuite partager des ressources avec ces identités IAM. Le propriétaire du compte peut également spécifier les autorisations à attribuer aux identités IAM, qui autorisent ou refusent les actions pouvant être effectuées sur les ressources partagées.

Les identités IAM offrent des fonctionnalités accrues, notamment la possibilité d’exiger des utilisateurs qu’ils saisissent des informations d’identification de connexion avant d’accéder aux ressources partagées. Avec les identités IAM, vous pouvez mettre en œuvre une forme d’authentification multifactorielle (MFA) IAM pour prendre en charge une base d’identité solide. L’une des bonnes pratiques IAM consiste à créer des rôles pour la gestion des accès au lieu d’accorder des autorisations à chaque utilisateur individuel. Vous attribuez le rôle approprié à chaque utilisateur. Pour plus d’informations, consultez Bonnes pratiques de sécurité dans IAM.

Autres titulaires de AWS comptes et leurs identités IAM (accès entre comptes)

Le Compte AWS propriétaire peut également donner accès aux ressources à d'autres propriétaires de AWS comptes, ou à des identités IAM appartenant à un autre AWS compte.

Utilisateurs anonymes (accès public)

Le Compte AWS propriétaire peut rendre les ressources publiques. D’un point de vue technique, rendre une ressource publique consiste à partager la ressource avec l’utilisateur anonyme. Les compartiments créés depuis avril 2023 bloquent tout accès public par défaut, sauf si vous modifiez ce paramètre. Nous vous recommandons de configurer vos compartiments de sorte qu’ils bloquent l’accès public, et de n’accorder l’accès qu’aux utilisateurs authentifiés. Pour en savoir plus sur le blocage de l’accès public, consultez Blocage de l’accès public à votre stockage Amazon S3.

Services AWS

Le propriétaire de la ressource peut accorder à un autre AWS service l'accès à une ressource Amazon S3. Par exemple, vous pouvez accorder au AWS CloudTrail service l's3:PutObjectautorisation d'écrire des fichiers journaux dans votre compartiment. Pour plus d'informations, consultez la section Fournir l'accès à un AWS service.

Identités des annuaires d’entreprise

Le propriétaire de la ressource peut accorder à des utilisateurs ou à des rôles de votre annuaire d’entreprise l’accès à une ressource S3 à l’aide des autorisations d’accès S3. Pour plus d'informations sur l'ajout de votre annuaire d'entreprise à AWS IAM Identity Center, voir Qu'est-ce qu'IAM Identity Center ? .

Propriétaires du compartiment ou de la ressource

Celui Compte AWS que vous utilisez pour créer des buckets et télécharger des objets possède ces ressources. Un propriétaire de compartiment peut accorder à un autre Compte AWS (ou à des utilisateurs d’un autre compte) des autorisations intercomptes pour charger des objets.

Lorsqu’un propriétaire de compartiment autorise un autre compte à charger des objets dans un compartiment, le propriétaire du compartiment est propriétaire par défaut de tous les objets chargés dans son compartiment. Toutefois, si les paramètres de bucket appliqués par le propriétaire du bucket et les paramètres de bucket préférés du propriétaire du bucket sont désactivés, le Compte AWS responsable du téléchargement des objets est propriétaire de ces objets, et le propriétaire du bucket n'a aucune autorisation sur les objets appartenant à un autre compte, avec les exceptions suivantes :

Outils de gestion des accès

Amazon S3 fournit plusieurs fonctionnalités et outils de sécurité. Vous trouverez ci-dessous une liste complète de ces fonctionnalités et outils. Vous n’avez pas besoin de tous ces outils de gestion des accès, mais vous devez en utiliser un ou plusieurs pour accorder l’accès à vos ressources Amazon S3. Une utilisation adéquate de ces outils contribue à garantir que vos ressources ne sont accessibles qu’aux utilisateurs prévus.

L’outil de gestion des accès le plus couramment utilisé est une stratégie d’accès. Une politique d'accès peut être une politique basée sur les ressources attachée à une AWS ressource, telle qu'une politique de compartiment pour un compartiment. Une stratégie d’accès peut également être une politique basée sur l’identité. Dans ce cas, elle est associée à une identité AWS Identity and Access Management (IAM), telle qu’un utilisateur, un groupe ou un rôle IAM. Rédigez une politique d'accès pour accorder Comptes AWS aux utilisateurs, aux groupes et aux rôles IAM l'autorisation d'effectuer des opérations sur une ressource. Par exemple, vous pouvez accorder une PUT Object autorisation à un autre compte Compte AWS afin qu'il puisse télécharger des objets dans votre compartiment.

Une stratégie d’accès décrit qui a accès à quoi. Lorsqu’Amazon S3 reçoit une demande, toutes les stratégies d’accès doivent être évaluées afin de déterminer si cette demande doit être autorisée ou refusée. Pour plus d’informations sur la manière dont Amazon S3 évalue ces politiques, consultez Comment Amazon S3 autorise une demande.

Les outils de gestion de l’accès disponibles dans Amazon S3 sont les suivants.

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid":"BucketLevelReadPermissions",
      "Effect":"Allow",
      "Principal": {
	    "AWS": "arn:aws:iam::123456789101:role/s3-role"
      },
      "Action":["s3:GetObject"],
      "Resource":["arn:aws:s3:::amzn-s3-demo-bucket1/*"]
    }]
  }

{
  "Version": "2012-10-17",
  "Statement": [
  {
    "Sid": "AssignARoleActions",
    "Effect": "Allow",
    "Action": [
	  "s3:PutObject",
	  "s3:GetObject",
	  "s3:ListBucket",
	  "s3:DeleteObject",
	  "s3:GetBucketLocation"
    ],
    "Resource": [
	  "arn:aws:s3:::amzn-s3-demo-bucket1/*",
	  "arn:aws:s3:::amzn-s3-demo-bucket1"
    ]
    },
  {
    "Sid": "AssignARoleActions2",
    "Effect": "Allow",
    "Action": "s3:ListAllMyBuckets",
    "Resource": "*"
  }
  ]
}

<?xml version="1.0" encoding="UTF-8"?>
	<AccessControlPolicy xmlns="http://s3.amazonaws.com/doc/2006-03-01/">
		<Owner>
			<ID>Owner-Canonical-User-ID</ID>
			<DisplayName>owner-display-name</DisplayName>
		</Owner>
	<AccessControlList>
		<Grant>
			<Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="Canonical User">
				<ID>Owner-Canonical-User-ID</ID>
				<DisplayName>display-name</DisplayName>
			</Grantee>
			<Permission>FULL_CONTROL</Permission>
		</Grant>
	</AccessControlList>
</AccessControlPolicy> 		

Bonnes pratiques supplémentaires

Envisagez d’utiliser les outils de compartiment suivants pour protéger les données en transit et au repos, qui sont toutes essentielles pour préserver l’intégrité et l’accessibilité de vos données.

Actions

Pour obtenir la liste complète des autorisations et des clés de condition S3, consultez Actions, ressources et clés de condition pour Amazon S3 dans la Référence de l’autorisation de service.

Pour plus d’informations sur les autorisations relatives aux opérations d’API S3 par type de ressource S3, consultez Autorisations requises pour les opérations d’API Amazon S3.

Actions

Les actions AWS Identity and Access Management (IAM) pour Amazon S3 sont les actions possibles qui peuvent être effectuées sur un compartiment ou un objet S3. Vous accordez ces actions aux identités afin qu’elles puissent agir sur vos ressources S3. Parmi les exemples d’actions S3, citons s3:GetObject qui permet de lire des objets dans un compartiment et s3:PutObject qui permet d’écrire des objets dans un compartiment.

Clés de condition

Outre les actions, les clés de condition IAM n’accordent l’accès que lorsqu’une condition est remplie. Les clés de condition sont facultatives.

Cas d’utilisation de la gestion des accès

Amazon S3 fournit aux propriétaires de ressources une variété d’outils pour accorder l’accès. L’outil de gestion des accès S3 que vous utilisez dépend des ressources S3 que vous souhaitez partager, des identités auxquelles vous accordez l’accès et des actions que vous souhaitez autoriser ou refuser. Vous pouvez utiliser un ou plusieurs outils de gestion d’accès S3 pour gérer l’accès à vos ressources S3.

Dans la plupart des cas, vous pouvez utiliser une stratégie d’accès pour gérer les autorisations. Une politique d’accès peut être une politique basée sur les ressources, qui est attachée à une ressource telle qu’un compartiment ou à une autre ressource Amazon S3 (Ressources S3). Une politique d'accès peut également être une politique basée sur l'identité, attachée à un utilisateur, un groupe ou un rôle AWS Identity and Access Management (IAM) dans votre compte. Vous constaterez peut-être qu’une politique de compartiment convient mieux à votre cas d’utilisation. Pour de plus amples informations, veuillez consulter Politiques de compartiment pour Amazon S3. Par ailleurs, avec AWS Identity and Access Management (IAM), vous pouvez créer des utilisateurs, des groupes et des rôles IAM au sein de votre entreprise et gérer leur accès aux compartiments Compte AWS et aux objets par le biais de politiques basées sur l'identité. Pour de plus amples informations, veuillez consulter Politiques basées sur l’identité pour Amazon S3.

Pour vous aider à utiliser ces options de gestion des accès, vous trouverez ci-dessous des cas d’utilisation courants de clients Amazon S3 et des recommandations pour chacun des outils de gestion des accès S3.

Résolution des problèmes de gestion d’accès

Les ressources suivantes peuvent vous aider à résoudre les problèmes de gestion d’accès S3 :

Résolution des erreurs d’accès refusé (403 Forbidden)

Si vous rencontrez des problèmes de refus d’accès, vérifiez les paramètres au niveau du compte et au niveau du compartiment. Vérifiez également la fonctionnalité de gestion des accès que vous utilisez pour accorder l’accès afin de vous assurer que la politique, le paramètre ou la configuration sont corrects. Pour plus d’informations sur les causes courantes des erreurs d’accès refusé (403 Forbidden) dans Amazon S3, consultez Résoudre les problèmes d'accès refusé (403 Forbidden) erreurs dans Amazon S3.

Analyseur d’accès IAM pour S3

Si vous ne souhaitez rendre aucune de vos ressources accessible au public, ou si vous souhaitez limiter l’accès public à vos ressources, vous pouvez utiliser l’analyseur d’accès IAM pour S3. Sur la console Amazon S3, utilisez IAM Access Analyzer for S3 pour examiner tous les compartiments dotés de listes de contrôle d'accès aux compartiments (ACLs), de politiques de compartiment ou de politiques de point d'accès accordant un accès public ou partagé. IAM Access Analyzer for S3 vous avertit de la présence de compartiments configurés pour autoriser l'accès à toute personne sur Internet ou autre Comptes AWS, y compris Comptes AWS en dehors de votre organisation. Pour chaque compartiment public ou partagé, vous recevez des résultats qui signalent la source et le niveau d’accès public ou partagé.

Dans l’analyseur d’accès IAM pour S3, vous pouvez bloquer tout accès public à un compartiment en une seule action. Nous vous recommandons de bloquer tout accès public à vos compartiments, sauf si vous avez besoin d’un accès public pour répondre à un cas d’utilisation spécifique. Avant de bloquer tout accès public, assurez-vous que vos applications continueront à fonctionner correctement sans cet accès. Pour de plus amples informations, veuillez consulter Blocage de l’accès public à votre stockage Amazon S3.

Vous pouvez également passer en revue les paramètres d’autorisation au niveau des compartiments afin de configurer des niveaux détaillés d’accès. Pour les cas d’utilisation spécifiques et vérifiés nécessitant un accès public ou partagé, vous pouvez confirmer et enregistrer votre intention de maintenir le niveau d’accès public ou partagé en archivant les résultats pour le compartiment. Vous pouvez revisiter et modifier ces configurations de compartiments à tout moment. Vous pouvez également télécharger vos résultats sous forme de rapport CSV à des fins d’audit.

L’analyseur d’accès IAM pour S3 est disponible gratuitement sur la console Amazon S3. L’analyseur d’accès IAM pour S3 est optimisé par l’analyseur d’accès IAM d’ AWS Identity and Access Management (IAM). Pour utiliser l’analyseur d’accès IAM pour S3 dans la console Amazon S3, vous devez accéder à la console IAM et créer un analyseur au niveau du compte dans l’analyseur d’accès IAM pour chaque région.

Pour plus d’informations sur l’analyseur d’accès IAM pour S3, consultez Examen de l’accès aux compartiments à l’aide de l’analyseur d’accès IAM pour S3.

Journalisation et surveillance

La surveillance est un élément clé pour assurer la fiabilité, la disponibilité et les performances de vos solutions Amazon S3 pour vous permettre de déboguer plus facilement un échec d’accès. La journalisation peut fournir un aperçu des erreurs reçues par les utilisateurs, ainsi que du moment et des demandes qui leur sont adressées. AWS fournit plusieurs outils pour surveiller vos ressources Amazon S3, tels que les suivants :

Pour de plus amples informations, veuillez consulter Journalisation et surveillance dans Amazon S3.