Contrôle d'accès dans Amazon S3

Dans AWS, une ressource est une entité avec laquelle vous pouvez travailler. Dans Amazon Simple Storage Service (S3), les compartiments et les objets sont les ressources Amazon S3 d'origine. Chaque client S3 possède probablement des compartiments contenant des objets. Au fur et à mesure que de nouvelles fonctionnalités ont été ajoutées à S3, des ressources supplémentaires ont également été ajoutées, mais tous les clients n'utilisent pas ces ressources spécifiques aux fonctionnalités. Pour plus d'informations sur les ressources Amazon S3, consultezRessources S3.

Par défaut, toutes les ressources Amazon S3 sont privées. Par défaut également, l'utilisateur root du compte Compte AWS qui a créé la ressource (propriétaire de la ressource) et IAM les utilisateurs de ce compte disposant des autorisations nécessaires peuvent accéder à une ressource qu'ils ont créée. Le propriétaire de la ressource décide qui d'autre peut accéder à la ressource et les actions que les autres sont autorisés à effectuer sur la ressource. S3 dispose de divers outils de gestion des accès que vous pouvez utiliser pour accorder à d'autres personnes l'accès à vos ressources S3.

Les sections suivantes présentent un aperçu des ressources S3, des outils de gestion des accès S3 disponibles et des meilleurs cas d'utilisation pour chaque outil de gestion des accès. Les listes de ces sections visent à être exhaustives et incluent toutes les ressources S3, les outils de gestion des accès et les cas d'utilisation courants de la gestion des accès. Dans le même temps, ces sections sont conçues pour être des répertoires qui vous mènent aux détails techniques que vous souhaitez. Si vous comprenez bien certains des sujets suivants, vous pouvez passer directement à la section qui vous concerne.

Pour plus d'informations sur les autorisations relatives aux API opérations S3 par type de ressource S3, consultezAutorisations requises pour les API opérations Amazon S3.

Rubriques

Ressources S3

Les ressources Amazon S3 d'origine sont les compartiments et les objets qu'ils contiennent. Au fur et à mesure que de nouvelles fonctionnalités sont ajoutées à S3, de nouvelles ressources sont également ajoutées. Vous trouverez ci-dessous une liste complète des ressources S3 et de leurs fonctionnalités respectives.

Compartiments

Il existe deux types de compartiments Amazon S3 : les compartiments à usage général et les compartiments de répertoire.

Catégorisation des ressources S3

Amazon S3 fournit des fonctionnalités permettant de classer et d'organiser vos ressources S3. La catégorisation de vos ressources est non seulement utile pour les organiser, mais vous pouvez également définir des règles de gestion des accès en fonction des catégories de ressources. En particulier, les préfixes et le balisage sont deux fonctionnalités d'organisation du stockage que vous pouvez utiliser lors de la définition des autorisations de gestion des accès.

Identités

Dans Amazon S3, le propriétaire de la ressource est l'identité qui a créé la ressource, telle qu'un bucket ou un objet. Par défaut, seul l'utilisateur root du compte qui a créé la ressource et les IAM identités du compte disposant de l'autorisation requise peuvent accéder à la ressource S3. Les propriétaires de ressources peuvent autoriser d'autres identités à accéder à leurs ressources S3.

Les identités qui ne sont pas propriétaires d'une ressource peuvent demander l'accès à cette ressource. Les demandes adressées à une ressource sont soit authentifiées, soit non authentifiées. Les demandes authentifiées doivent inclure une valeur de signature qui authentifie l'expéditeur de la demande, mais les demandes non authentifiées ne nécessitent pas de signature. Nous vous recommandons de n'accorder l'accès qu'aux utilisateurs authentifiés. Pour plus d'informations sur l'authentification des demandes, consultez la section Faire des demandes dans le manuel Amazon S3 API Reference.

Les identités qui accèdent à vos données dans Amazon S3 peuvent être les suivantes :

Compte AWS owner

Celui Compte AWS qui a créé la ressource. Par exemple, le compte qui a créé le bucket. Ce compte possède la ressource. Pour plus d'informations, consultez la section Utilisateur root du AWS compte.

IAMidentités dans le même compte du Compte AWS propriétaire

Lors de la configuration de comptes pour les nouveaux membres de l'équipe qui ont besoin d'un accès S3, le Compte AWS propriétaire peut utiliser AWS Identity and Access Management (IAM) pour créer des utilisateurs, des groupes et des rôles. Le Compte AWS propriétaire peut ensuite partager des ressources avec ces IAM identités. Le propriétaire du compte peut également spécifier les autorisations à donner aux IAM identités, qui autorisent ou interdisent les actions pouvant être effectuées sur les ressources partagées.

IAMles identités offrent des fonctionnalités accrues, notamment la possibilité de demander aux utilisateurs de saisir des informations de connexion avant d'accéder aux ressources partagées. En utilisant IAM les identités, vous pouvez mettre en œuvre une forme d'authentification IAM multifactorielle (MFA) afin de renforcer les bases identitaires. Une IAM bonne pratique consiste à créer des rôles pour la gestion des accès au lieu d'accorder des autorisations à chaque utilisateur individuel. Vous attribuez le rôle approprié à chaque utilisateur. Pour plus d'informations, consultez la section Bonnes pratiques en matière de sécurité dans IAM.

Autres titulaires de AWS comptes et leur IAM identité (accès entre comptes)

Le Compte AWS propriétaire peut également donner accès aux ressources à d'autres propriétaires de AWS comptes, ou à des IAM identités appartenant à un autre AWS compte.

Utilisateurs anonymes (accès public)

Le Compte AWS propriétaire peut rendre les ressources publiques. Rendre une ressource publique partage techniquement la ressource avec l'utilisateur anonyme. Les compartiments créés depuis avril 2023 bloquent tout accès public par défaut, sauf si vous modifiez ce paramètre. Nous vous recommandons de configurer vos compartiments de manière à bloquer l'accès public et de n'accorder l'accès qu'aux utilisateurs authentifiés. Pour en savoir plus sur le blocage de l'accès public, consultez Blocage de l'accès public à votre stockage Amazon S3.

Services AWS

Le propriétaire de la ressource peut accorder à un autre AWS service l'accès à une ressource Amazon S3. Par exemple, vous pouvez accorder au AWS CloudTrail service l's3:PutObjectautorisation d'écrire des fichiers journaux dans votre compartiment. Pour plus d'informations, consultez la section Fournir l'accès à un AWS service.

Identités des annuaires d'entreprise

Le propriétaire de la ressource peut accorder à des utilisateurs ou à des rôles de votre annuaire d'entreprise l'accès à une ressource S3 à l'aide de S3 Access Grants. Pour plus d'informations sur l'ajout de votre annuaire d'entreprise à AWS IAM Identity Center, consultez Qu'est-ce qu'IAMIdentity Center ? .

Propriétaires du bucket ou de la ressource

Celui Compte AWS que vous utilisez pour créer des buckets et télécharger des objets possède ces ressources. Un propriétaire de compartiment peut accorder à un autre Compte AWS (ou à des utilisateurs d'un autre compte) des autorisations inter-comptes pour charger des objets.

Lorsqu'un propriétaire de compartiment autorise un autre compte à télécharger des objets dans un compartiment, le propriétaire du compartiment est propriétaire par défaut de tous les objets chargés dans son compartiment. Toutefois, si les paramètres de bucket appliqués par le propriétaire du bucket et les paramètres de bucket préférés du propriétaire du bucket sont désactivés, le Compte AWS responsable du téléchargement des objets est propriétaire de ces objets, et le propriétaire du bucket n'a aucune autorisation sur les objets appartenant à un autre compte, avec les exceptions suivantes :

Outils de gestion des accès

Amazon S3 fournit plusieurs fonctionnalités et outils de sécurité. Vous trouverez ci-dessous une liste complète de ces fonctionnalités et outils. Vous n'avez pas besoin de tous ces outils de gestion des accès, mais vous devez en utiliser un ou plusieurs pour accorder l'accès à vos ressources Amazon S3. L'application appropriée de ces outils peut contribuer à garantir que vos ressources ne sont accessibles qu'aux utilisateurs visés.

L'outil de gestion des accès le plus couramment utilisé est une politique d'accès. Une politique d'accès peut être une politique basée sur les ressources attachée à une AWS ressource, telle qu'une politique de compartiment pour un compartiment. Une politique d'accès peut également être une politique basée sur l'identité attachée à une AWS Identity and Access Management (IAM) identité, telle qu'un IAM utilisateur, un groupe ou un rôle. Rédigez une politique d'accès pour accorder Comptes AWS IAM aux utilisateurs, aux groupes et aux rôles l'autorisation d'effectuer des opérations sur une ressource. Par exemple, vous pouvez accorder une PUT Object autorisation à un autre compte Compte AWS afin qu'il puisse télécharger des objets dans votre compartiment.

Une politique d'accès décrit qui a accès à quels éléments. Lorsqu'Amazon S3 reçoit une demande, il doit évaluer toutes les politiques d'accès afin de déterminer s'il convient d'autoriser ou de refuser la demande. Pour plus d’informations sur la manière dont Amazon S3 évalue ces politiques, consultez Comment Amazon S3 autorise une demande.

Les outils de gestion des accès disponibles dans Amazon S3 sont les suivants.

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid":"BucketLevelReadPermissions",
      "Effect":"Allow",
      "Principal": {
	    "AWS": "arn:aws:iam::123456789101:role/s3-role"
      },
      "Action":["s3:GetObject"],
      "Resource":["arn:aws:s3:::amzn-s3-demo-bucket1/*"]
    }]
  }

{
  "Version": "2012-10-17",
  "Statement": [
  {
    "Sid": "AssignARoleActions",
    "Effect": "Allow",
    "Action": [
	  "s3:PutObject",
	  "s3:GetObject",
	  "s3:ListBucket",
	  "s3:DeleteObject",
	  "s3:GetBucketLocation"
    ],
    "Resource": [
	  "arn:aws:s3:::amzn-s3-demo-bucket1/*",
	  "arn:aws:s3:::amzn-s3-demo-bucket1"
    ]
    },
  {
    "Sid": "AssignARoleActions2",
    "Effect": "Allow",
    "Action": "s3:ListAllMyBuckets",
    "Resource": "*"
  }
  ]
}

<?xml version="1.0" encoding="UTF-8"?>
	<AccessControlPolicy xmlns="http://s3.amazonaws.com/doc/2006-03-01/">
		<Owner>
			<ID>Owner-Canonical-User-ID</ID>
			<DisplayName>owner-display-name</DisplayName>
		</Owner>
	<AccessControlList>
		<Grant>
			<Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="Canonical User">
				<ID>Owner-Canonical-User-ID</ID>
				<DisplayName>display-name</DisplayName>
			</Grantee>
			<Permission>FULL_CONTROL</Permission>
		</Grant>
	</AccessControlList>
</AccessControlPolicy> 		

Bonnes pratiques supplémentaires

Envisagez d'utiliser les paramètres et outils de compartiment suivants pour protéger les données en transit et au repos, deux éléments essentiels au maintien de l'intégrité et de l'accessibilité de vos données :

Actions

Pour obtenir la liste complète des autorisations et des clés de condition S3, consultez la section Actions, ressources et clés de condition pour Amazon S3 dans la référence d'autorisation de service.

Pour plus d'informations sur les autorisations relatives aux API opérations S3 par type de ressource S3, consultezAutorisations requises pour les API opérations Amazon S3.

Actions

Les actions AWS Identity and Access Management (IAM) pour Amazon S3 sont les actions possibles qui peuvent être effectuées sur un compartiment ou un objet S3. Vous accordez ces actions aux identités afin qu'elles puissent agir sur vos ressources S3. Des exemples d'actions S3 consistent s3:GetObject à lire des objets dans un compartiment et s3:PutObject à écrire des objets dans un compartiment.

Clés de condition

Outre les actions, les clés de IAM condition sont limitées à accorder l'accès uniquement lorsqu'une condition est remplie. Les clés de condition sont facultatives.

Cas d'utilisation de la gestion des accès

Amazon S3 fournit aux propriétaires de ressources une variété d'outils pour accorder l'accès. L'outil de gestion des accès S3 que vous utilisez dépend des ressources S3 que vous souhaitez partager, des identités auxquelles vous accordez l'accès et des actions que vous souhaitez autoriser ou refuser. Vous souhaiterez peut-être utiliser un ou plusieurs outils de gestion d'accès S3 pour gérer l'accès à vos ressources S3.

Dans la plupart des cas, vous pouvez utiliser une politique d'accès pour gérer les autorisations. Une politique d'accès peut être une politique basée sur les ressources, attachée à une ressource, telle qu'un bucket, ou à une autre ressource Amazon S3 ()Ressources S3. Une politique d'accès peut également être une politique basée sur l'identité, attachée à un AWS Identity and Access Management (IAM) utilisateur, à un groupe ou à un rôle dans votre compte. Vous constaterez peut-être qu'une politique de compartiment convient mieux à votre cas d'utilisation. Pour de plus amples informations, veuillez consulter Politiques relatives aux compartiments pour Amazon S3. Sinon, avec AWS Identity and Access Management (IAM), vous pouvez créer des IAM utilisateurs, des groupes et des rôles au sein de votre entreprise Compte AWS et gérer leur accès aux compartiments et aux objets par le biais de politiques basées sur l'identité. Pour de plus amples informations, veuillez consulter Politiques basées sur l'identité pour Amazon S3.

Pour vous aider à naviguer dans ces options de gestion des accès, vous trouverez ci-dessous des cas d'utilisation courants des clients Amazon S3 et des recommandations pour chacun des outils de gestion des accès S3.

Résolution des problèmes de gestion des accès

Les ressources suivantes peuvent vous aider à résoudre les problèmes liés à la gestion des accès S3 :

Résolution des erreurs d'accès refusé (403 – Interdit)

Si vous rencontrez des problèmes de refus d'accès, vérifiez les paramètres au niveau du compte et au niveau du compartiment. Vérifiez également la fonctionnalité de gestion des accès que vous utilisez pour accorder l'accès afin de vous assurer que la politique, le paramètre ou la configuration sont corrects. Pour plus d'informations sur les causes courantes des erreurs d'accès refusé (403 – Interdit) dans Amazon S3, consultez Résoudre les problèmes d'accès refusé (403 Forbidden) erreurs dans Amazon S3.

IAMAnalyseur d'accès pour S3

Si vous ne souhaitez rendre aucune de vos ressources accessible au public, ou si vous souhaitez limiter l'accès public à vos ressources, vous pouvez utiliser IAM Access Analyzer pour S3. Sur la console Amazon S3, utilisez IAM Access Analyzer for S3 pour examiner tous les compartiments dotés de listes de contrôle d'accès aux compartiments (ACLs), de politiques de compartiment ou de politiques de point d'accès qui accordent un accès public ou partagé. IAMAccess Analyzer for S3 vous avertit de la présence de compartiments configurés pour autoriser l'accès à toute personne sur Internet ou autre Comptes AWS, y compris Comptes AWS en dehors de votre organisation. Pour chaque compartiment public ou partagé, vous recevez des résultats qui signalent la source et le niveau d'accès public ou partagé.

Dans IAM Access Analyzer for S3, vous pouvez bloquer tout accès public à un bucket en une seule action. Nous vous recommandons de bloquer tout accès public à vos buckets, sauf si vous avez besoin d'un accès public pour prendre en charge un cas d'utilisation spécifique. Avant de bloquer tout accès public, assurez-vous que vos applications continueront de fonctionner correctement sans accès public. Pour de plus amples informations, veuillez consulter Blocage de l'accès public à votre stockage Amazon S3.

Vous pouvez également consulter vos paramètres d'autorisation au niveau du compartiment pour configurer des niveaux d'accès détaillés. Pour les cas d'utilisation spécifiques et vérifiés nécessitant un accès public ou partagé, vous pouvez confirmer et enregistrer votre intention de maintenir le niveau d'accès public ou partagé en archivant les résultats pour le compartiment. Vous pouvez revisiter et modifier ces configurations de compartiments à tout moment. Vous pouvez également télécharger vos résultats sous forme de CSV rapport à des fins d'audit.

IAMAccess Analyzer for S3 est disponible sans frais supplémentaires sur la console Amazon S3. IAMAccess Analyzer pour S3 est alimenté par AWS Identity and Access Management (IAM) IAM Access Analyzer. Pour utiliser IAM Access Analyzer for S3 sur la console Amazon S3, vous devez visiter la IAMconsole et créer un analyseur au niveau du compte dans IAM Access Analyzer pour chaque région individuelle.

Pour plus d'informations sur IAM Access Analyzer pour S3, consultezRévision de l'accès aux compartiments à l'aide IAM d'Access Analyzer pour S3.

Journalisation et surveillance

La surveillance joue un rôle important dans le maintien de la fiabilité, de la disponibilité et des performances de vos solutions Amazon S3 afin que vous puissiez corriger plus facilement une défaillance d'accès. La journalisation peut fournir un aperçu des erreurs reçues par les utilisateurs, ainsi que du moment et des demandes qui leur sont adressées. AWS fournit plusieurs outils pour surveiller vos ressources Amazon S3, tels que les suivants :

Pour de plus amples informations, veuillez consulter Journalisation et surveillance dans Amazon S3.