Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Contrôle de l'accès depuis les VPC terminaux à l'aide de politiques relatives aux compartiments

Vous pouvez utiliser les politiques relatives aux compartiments Amazon S3 pour contrôler l'accès aux compartiments à partir de points de terminaison de cloud privé virtuel (VPC) spécifiques ou spécifiques. VPCs Cette section contient des exemples de politiques de compartiment que vous pouvez utiliser pour contrôler l'accès aux compartiments Amazon S3 depuis les VPC points de terminaison. Pour savoir comment configurer les points de VPC terminaison, consultez la section Points de VPCterminaison dans le guide de l'VPCutilisateur.

A vous VPC permet de lancer AWS des ressources dans un réseau virtuel que vous définissez. Un VPC point de terminaison vous permet de créer une connexion privée entre vous VPC et un autre Service AWS. Cette connexion privée ne nécessite pas d'accès via Internet, via une connexion de réseau privé virtuel (VPN), via une NAT instance ou via AWS Direct Connect.

Un VPC point de terminaison pour Amazon S3 est une entité logique au sein d'un VPC qui permet la connectivité uniquement à Amazon S3. Le VPC point de terminaison achemine les demandes vers Amazon S3 et redirige les réponses vers leVPC. VPCles points de terminaison modifient uniquement la façon dont les demandes sont acheminées. Les points de terminaison publics et les DNS noms Amazon S3 continueront de fonctionner avec les points de VPC terminaison. Pour obtenir des informations importantes sur l'utilisation des VPC points de terminaison avec Amazon S3, consultez la section Points de terminaison Gateway et points de terminaison Gateway pour Amazon S3 dans le guide de l'VPCutilisateur.

VPCles points de terminaison pour Amazon S3 proposent deux méthodes pour contrôler l'accès à vos données Amazon S3 :

Restreindre l'accès à un point de VPC terminaison spécifique

Voici un exemple de politique de compartiment Amazon S3 qui restreint l'accès à un compartiment spécifiqueawsexamplebucket1, uniquement à partir du point de VPC terminaison doté de l'IDvpce-1a2b3c4d. Si le point de terminaison spécifié n'est pas utilisé, la politique refuse tout accès au compartiment. La aws:SourceVpce condition spécifie le point de terminaison. La aws:SourceVpce condition ne nécessite pas de nom de ressource Amazon (ARN) pour la ressource du VPC point de terminaison, uniquement l'ID du VPC point de terminaison. Pour plus d'informations sur l'utilisation de conditions dans une stratégie, consultez Exemples de politiques relatives aux compartiments utilisant des clés de condition.

{
   "Version": "2012-10-17",
   "Id": "Policy1415115909152",
   "Statement": [
     {
       "Sid": "Access-to-specific-VPCE-only",
       "Principal": "*",
       "Action": "s3:*",
       "Effect": "Deny",
       "Resource": ["arn:aws:s3:::awsexamplebucket1",
                    "arn:aws:s3:::awsexamplebucket1/*"],
       "Condition": {
         "StringNotEquals": {
           "aws:SourceVpce": "vpce-1a2b3c4d"
         }
       }
     }
   ]
}

Restreindre l'accès à un VPC

Vous pouvez créer une politique de compartiment qui restreint l'accès à un élément spécifique VPC en utilisant aws:SourceVpc cette condition. Cela est utile si plusieurs VPC points de terminaison sont configurés simultanément VPC et que vous souhaitez gérer l'accès à vos compartiments Amazon S3 pour tous vos points de terminaison. Voici un exemple de politique qui refuse à quiconque extérieur l'accès à ses objets awsexamplebucket1 et à ses objets VPCvpc-111bbb22. Si le paramètre spécifié VPC n'est pas utilisé, la politique refuse tout accès au compartiment. Cette instruction n'autorise pas l'accès au bucket. Pour autoriser l'accès, vous devez ajouter une Allow déclaration séparée. La clé de vpc-111bbb22 condition ne nécessite pas un ARN pour la VPC ressource, uniquement l'VPCID.

{
   "Version": "2012-10-17",
   "Id": "Policy1415115909153",
   "Statement": [
     {
       "Sid": "Access-to-specific-VPC-only",
       "Principal": "*",
       "Action": "s3:*",
       "Effect": "Deny",
       "Resource": ["arn:aws:s3:::awsexamplebucket1",
                    "arn:aws:s3:::awsexamplebucket1/*"],
       "Condition": {
         "StringNotEquals": {
           "aws:SourceVpc": "vpc-111bbb22"
         }
       }
     }
   ]
}