Points de terminaison de passerelle pour Amazon S3

Vous pouvez accéder à Amazon S3 depuis vos VPC VPC points de terminaison de passerelle. Après avoir créé le point de terminaison de la passerelle, vous pouvez l'ajouter en tant que cible dans votre table de routage pour le trafic destiné VPC à Amazon S3.

Il n'y a pas de frais supplémentaires pour l'utilisation de points de terminaison de passerelle.

Amazon S3 prend en charge les points de terminaison de passerelle et les points de terminaison d'interface. Avec un point de terminaison de passerelle, vous pouvez accéder à Amazon S3 depuis votre ordinateurVPC, sans avoir besoin d'une passerelle Internet ou d'un NAT appareilVPC, et sans frais supplémentaires. Toutefois, les points de terminaison de la passerelle n'autorisent pas l'accès depuis des réseaux locaux, depuis des réseaux homologues VPCs dans d'autres AWS régions ou via une passerelle de transit. Pour ces scénarios, vous devez utiliser un point de terminaison d'interface qui est disponible moyennant des frais supplémentaires. Pour plus d'informations, consultez la section Types de VPC points de terminaison pour Amazon S3 dans le guide de l'utilisateur d'Amazon S3.

Considérations

Privé DNS

Vous pouvez configurer le mode privé DNS pour optimiser les coûts lorsque vous créez à la fois un point de terminaison de passerelle et un point de terminaison d'interface pour Amazon S3.

Route 53 Resolver

Amazon fournit un DNS serveur, appelé Route 53 Resolver, pour votreVPC. Le résolveur Route 53 résout automatiquement les noms de VPC domaine locaux et les enregistrements dans les zones hébergées privées. Cependant, vous ne pouvez pas utiliser le résolveur Route 53 depuis l'extérieur de votreVPC. Route 53 fournit des points de terminaison et des règles de résolution afin que vous puissiez utiliser le résolveur Route 53 depuis l'extérieur de votre. VPC Un point de terminaison de résolution entrant transmet les DNS requêtes du réseau local à Route 53 Resolver. Un point de terminaison sortant du résolveur transmet les DNS requêtes du résolveur Route 53 au réseau local.

Lorsque vous configurez le point de terminaison de votre interface pour qu'Amazon S3 utilise le mode privé DNS uniquement pour le point de terminaison de résolution entrant, nous créons un point de terminaison de résolution entrant. Le point de terminaison du résolveur entrant résout les DNS requêtes adressées à Amazon S3 depuis le site vers les adresses IP privées du point de terminaison de l'interface. Nous ajoutons également ALIAS des enregistrements pour le résolveur Route 53 à la zone hébergée publique d'Amazon S3, afin que les DNS requêtes provenant de votre VPC résolution soient envoyées aux adresses IP publiques Amazon S3, qui acheminent le trafic vers le point de terminaison de la passerelle.

Privé DNS

Si vous configurez le mode privé DNS pour le point de terminaison de votre interface pour Amazon S3, mais que vous ne configurez pas le mode privé DNS uniquement pour le point de terminaison entrant du résolveur, les demandes provenant de votre réseau local et de vous-même VPC utilisent le point de terminaison d'interface pour accéder à Amazon S3. Par conséquent, vous payez pour utiliser le point de terminaison de l'interface pour le trafic provenant duVPC, au lieu d'utiliser le point de terminaison de la passerelle sans frais supplémentaires.

Privé DNS uniquement pour le point de terminaison entrant du résolveur

Si vous configurez le mode privé DNS uniquement pour le point de terminaison entrant du résolveur, les demandes provenant de votre réseau local utilisent le point de terminaison de l'interface pour accéder à Amazon S3, et les demandes provenant de vous VPC utilisent le point de terminaison de passerelle pour accéder à Amazon S3. Par conséquent, vous optimisez vos coûts, car vous payez pour utiliser le point de terminaison d'interface uniquement pour le trafic qui ne peut pas utiliser le point de terminaison de passerelle.

Configurer le mode privé DNS

Vous pouvez configurer le mode privé DNS pour un point de terminaison d'interface pour Amazon S3 lorsque vous le créez ou après l'avoir créé. Pour plus d'informations, veuillez consulter Création d'un point de terminaison VPC (configurer pendant la création) ou Activation de noms DNS privés (configurer après la création).

Créer un point de terminaison de passerelle

Utilisez la procédure suivante pour créer un point de terminaison de passerelle qui se connecte à Amazon S3.

Contrôle de l'accès à l'aide de politiques de compartiment

Vous pouvez utiliser des politiques de compartiment pour contrôler l'accès aux compartiments à partir de points de terminaison spécifiquesVPCs, de plages d'adresses IP et. Comptes AWS Ces exemples supposent qu'il existe également des déclarations de politique générale qui autorisent l'accès requis pour vos cas d'utilisation.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow-access-to-specific-VPCE",
      "Effect": "Deny",
      "Principal": "*",
      "Action": ["s3:PutObject", "s3:GetObject", "s3:DeleteObject"],
      "Resource": ["arn:aws:s3:::bucket_name",
                   "arn:aws:s3:::bucket_name/*"],
      "Condition": {
        "StringNotEquals": {
          "aws:sourceVpce": "vpce-1a2b3c4d"
        }
      }
    }
  ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow-access-to-specific-VPC",
      "Effect": "Deny",
      "Principal": "*",
      "Action": ["s3:PutObject", "s3:GetObject", "s3:DeleteObject"],
      "Resource": ["arn:aws:s3:::example_bucket",
                   "arn:aws:s3:::example_bucket/*"],
      "Condition": {
        "StringNotEquals": {
          "aws:sourceVpc": "vpc-111bbb22"
        }
      }
    }
  ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow-access-to-specific-VPC-CIDR",
      "Effect": "Deny",
      "Principal": "*",
      "Action": ["s3:PutObject", "s3:GetObject", "s3:DeleteObject"],
      "Resource": ["arn:aws:s3:::bucket_name",
                   "arn:aws:s3:::bucket_name/*"],
      "Condition": {
        "NotIpAddress": {
          "aws:VpcSourceIp": "172.31.0.0/16"
        }
      }
    }
  ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow-access-to-bucket-in-specific-account",
      "Effect": "Deny",
      "Principal": "*",
      "Action": ["s3:GetObject", "s3:PutObject", "s3:DeleteObject"],
      "Resource": "arn:aws:s3:::*",
      "Condition": {
        "StringNotEquals": {
          "s3:ResourceAccount": "111122223333"
        }
      }
    }
  ]
}

Association de tables de routage

Vous pouvez modifier les tables de routage qui sont associées au point de terminaison de passerelle. Lorsque vous associez une table de routage, nous ajoutons automatiquement un itinéraire qui dirige le trafic destiné au service vers l'interface réseau du point de terminaison. Lorsque vous dissociez une table de routage, nous supprimons automatiquement le point de terminaison de la table de routage.

Modifier la politique du VPC point de terminaison

Vous pouvez modifier la politique de point de terminaison d'un point de terminaison de passerelle, qui contrôle l'accès à Amazon S3 depuis le VPC point de terminaison. La politique par défaut permet un accès complet. Pour de plus amples informations, veuillez consulter Politiques de point de terminaison.

Voici des exemples de stratégies point de terminaison pour accéder à Amazon S3.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow-access-to-specific-bucket",
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
         "s3:ListBucket",
         "s3:GetObject",
         "s3:PutObject"
      ],
      "Resource": [
        "arn:aws:s3:::bucket_name",
        "arn:aws:s3:::bucket_name/*"
      ]
    }
  ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow-access-to-specific-IAM-role",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "ArnEquals": {
          "aws:PrincipalArn": "arn:aws:iam::111122223333:role/role_name"
        }
      }
    }
  ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow-callers-from-specific-account",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalAccount": "111122223333"
        }
      }
    }
  ]
}

Suppression d'un point de terminaison de passerelle

Lorsque vous avez terminé avec un point de terminaison de passerelle, vous pouvez le supprimer. Lorsque vous supprimez un point de terminaison de passerelle, nous supprimons l'itinéraire du point de terminaison des tables de routage du sous-réseau.

Vous ne pouvez pas supprimer un point de terminaison de passerelle si le mode privé DNS est activé.