Contrôle de l’accès à partir des points de terminaison d’un VPC avec des stratégies de compartiment

Vous pouvez utiliser les politiques relatives aux compartiments Amazon S3 pour contrôler l'accès aux compartiments à partir de points de terminaison de cloud privé virtuel (VPC) spécifiques ou spécifiques. VPCs Cette section contient des exemples de politiques de compartiment qui peuvent être utilisés pour contrôler l’accès aux compartiments Amazon S3 à partir des points de terminaison d’un VPC. Pour apprendre à configurer les points de terminaison d’un VPC, consultez Points de terminaison d’un VPC dans le Guide de l’utilisateur VPC.

Un VPC vous permet de lancer des AWS ressources dans un réseau virtuel que vous définissez. Le point de terminaison d’un VPC vous permet de créer une connexion privée entre votre VPC et un autre Service AWS. Cette connexion privée ne nécessite pas d’accès via Internet, via une connexion de réseau privé virtuel (VPN), via une instance NAT ou via AWS Direct Connect.

Le point de terminaison d’un VPC pour Amazon S3 est une entité logique au sein d’un VPC qui permet uniquement une connexion à Amazon S3. Le point de terminaison d’un VPC achemine les demandes vers Amazon S3 et les réponses renvoyées au VPC. Les points de terminaison d’un VPC changent uniquement la manière dont les demandes sont acheminées. Les points de terminaison publics Amazon S3 et les noms DNS continuent de fonctionner avec les points de terminaison d’un VPC. Pour obtenir des informations importantes concernant l’utilisation des points de terminaison d’un VPC avec Amazon S3, consultez Points de terminaison de passerelle et Points de terminaison de passerelle pour Amazon S3 dans le Guide de l’utilisateur VPC.

Les points de terminaison d’un VPC pour Amazon S3 offrent deux façons de contrôler l’accès à vos données Amazon S3 :

Restriction de l’accès à un point de terminaison d’un VPC spécifique

Voici un exemple de politique de compartiment Amazon S3 qui restreint l’accès à un compartiment spécifique, awsexamplebucket1, uniquement à partir du point de terminaison d’un VPC doté de l’ID vpce-1a2b3c4d. Si le point de terminaison spécifié n’est pas utilisé, la politique refuse tout accès au compartiment. La condition aws:SourceVpce spécifie le point de terminaison. La condition aws:SourceVpce ne requiert pas d’Amazon Resource Name (ARN) pour la ressource du point de terminaison de VPC, uniquement l’ID de point de terminaison du VPC. Pour plus d’informations sur l’utilisation de conditions dans une stratégie, consultez Exemples de politiques de compartiment utilisant des clés de condition.

{
   "Version": "2012-10-17",
   "Id": "Policy1415115909152",
   "Statement": [
     {
       "Sid": "Access-to-specific-VPCE-only",
       "Principal": "*",
       "Action": "s3:*",
       "Effect": "Deny",
       "Resource": ["arn:aws:s3:::awsexamplebucket1",
                    "arn:aws:s3:::awsexamplebucket1/*"],
       "Condition": {
         "StringNotEquals": {
           "aws:SourceVpce": "vpce-1a2b3c4d"
         }
       }
     }
   ]
}

Restriction de l’accès à un VPC spécifique

Vous pouvez créer une politique de compartiment qui restreint l’accès à un VPC spécifique en utilisant la condition aws:SourceVpc. Ceci est utile si vous avez plusieurs points de terminaison d’un VPC configurés pour le même VPC et que vous voulez gérer l’accès à vos compartiments Amazon S3 pour tous vos points de terminaison. Voici un exemple de politique qui refuse l’accès à awsexamplebucket1 et ses objets à toute personne extérieure au VPC vpc-111bbb22. Si le VPC spécifié n’est pas utilisé, la politique refuse tout accès au compartiment. Cette instruction n’accorde pas l’accès au compartiment. Pour autoriser l’accès, vous devez ajouter une instruction Allow séparée. La clé de condition vpc-111bbb22 ne requiert pas d’ARN pour la ressource VPC, uniquement l’ID du VPC.

{
   "Version": "2012-10-17",
   "Id": "Policy1415115909153",
   "Statement": [
     {
       "Sid": "Access-to-specific-VPC-only",
       "Principal": "*",
       "Action": "s3:*",
       "Effect": "Deny",
       "Resource": ["arn:aws:s3:::awsexamplebucket1",
                    "arn:aws:s3:::awsexamplebucket1/*"],
       "Condition": {
         "StringNotEquals": {
           "aws:SourceVpc": "vpc-111bbb22"
         }
       }
     }
   ]
}