Izin

Poin Akses Multi-Wilayah Amazon S3 dapat menyederhanakan akses data untuk bucket Amazon S3 dalam beberapa kali. Wilayah AWS Titik Akses Multi-Wilayah diberi nama titik akhir global yang dapat Anda gunakan untuk melakukan operasi objek akses data Amazon S3, seperti GetObject dan PutObject. Setiap Titik Akses Multi-Wilayah dapat memiliki izin dan kendali jaringan yang berbeda untuk setiap permintaan yang dibuat melalui titik akhir global.

Setiap Titik Akses Multi-Wilayah juga dapat memberlakukan kebijakan akses khusus yang bekerja bersama dengan kebijakan bucket yang melekat pada bucket yang mendasarinya. Agar permintaan lintas akun berhasil, kebijakan berikut harus mengizinkan operasi:

Anda dapat mengonfigurasi kebijakan Titik Akses Multi-Wilayah untuk menerima permintaan hanya dari pengguna IAM atau grup tertentu. Untuk contoh cara melakukannya, lihat Contoh 2 di Contoh kebijakan Titik Akses Multi-Wilayah. Untuk membatasi akses data Amazon S3 ke jaringan privat, Anda dapat mengonfigurasi kebijakan Titik Akses Multi-Wilayah untuk menerima permintaan hanya dari cloud privat virtual (VPC).

Misalnya, Anda membuat GetObject permintaan melalui Titik Akses Multi-Wilayah dengan menggunakan pengguna yang dipanggil AppDataReader di AWS akun Anda. Untuk memastikan bahwa permintaan tidak akan ditolak, pengguna AppDataReader harus diberikan izin s3:GetObject oleh Titik Akses Multi-Wilayah dan oleh setiap bucket yang mendasari Titik Akses Multi-Wilayah. AppDataReader tidak akan dapat mengambil data dari bucket mana pun yang tidak memberikan izin ini.

Mengelola akses publik ke Titik Akses Multi-Wilayah

Titik Akses Multi-Wilayah mendukung pengaturan Blokir Akses Publik independen untuk setiap Titik Akses Multi-Wilayah. Saat Anda membuat Titik Akses Multi-Wilayah, Anda dapat menentukan pengaturan Blokir Akses Publik yang berlaku untuk Titik Akses Multi-Wilayah tersebut.

Untuk setiap permintaan yang dibuat melalui Titik Akses Multi-Wilayah, Amazon S3 mengevaluasi pengaturan Blokir Akses Publik untuk:

Jika salah satu pengaturan ini menunjukkan bahwa permintaan tersebut harus diblokir, Amazon S3 menolak permintaan tersebut. Untuk informasi selengkapnya tentang fitur Blokir Akses Publik Amazon S3, lihat Melakukan blok akses publik ke penyimpanan Amazon S3 Anda.

Melihat setelan Blokir Akses Publik untuk Titik Akses Multi-Wilayah

Menggunakan kebijakan Titik Akses Multi-Wilayah

Contoh kebijakan Titik Akses Multi-Wilayah berikut memberikan akses pengguna IAM untuk membuat daftar dan mengunduh file dari Titik Akses Multi-Wilayah Anda. Untuk menggunakan kebijakan contoh ini, ganti user input placeholders dengan informasi Anda sendiri.

 {
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Principal":{
            "AWS":"arn:aws:iam::123456789012:user/JohnDoe" 
         },
         "Action":[
            "s3:ListBucket",
            "s3:GetObject"
         ],
         "Resource":[
            "arn:aws:s3::111122223333:accesspoint/MultiRegionAccessPoint_alias",
            "arn:aws:s3::111122223333:accesspoint/MultiRegionAccessPoint_alias/object/*"
         ]
      }
   ]
}

Untuk mengaitkan kebijakan Titik Akses Multi-Wilayah Anda dengan Titik Akses Multi-Wilayah yang telah ditentukan menggunakan AWS Command Line Interface (AWS CLI), gunakan perintah put-multi-region-access-point-policy berikut. Untuk menggunakan contoh perintah ini, ganti user input placeholders dengan informasi Anda sendiri. Setiap Titik Akses Multi-Wilayah hanya dapat memiliki satu kebijakan, sehingga permintaan yang dibuat untuk tindakan put-multi-region-access-point-policy tersebut akan menggantikan kebijakan yang ada yang terkait dengan Titik Akses Multi-Wilayah yang telah ditentukan.

aws s3control put-multi-region-access-point-policy
--account-id 111122223333
--details { "Name": "amzn-s3-demo-bucket-MultiRegionAccessPoint", "Policy": "{ \"Version\": \"2012-10-17\", \"Statement\": { \"Effect\": \"Allow\", \"Principal\": { \"AWS\": \"arn:aws:iam::111122223333:root\" }, \"Action\": [\"s3:ListBucket\", \"s3:GetObject\"], \"Resource\": [ \"arn:aws:s3::111122223333:accesspoint/MultiRegionAccessPoint_alias", \"arn:aws:s3::111122223333:accesspoint/MultiRegionAccessPoint_alias/object/*\" ] } }" }

Jika Anda ingin mengetahui hasil dari operasi sebelumnya, gunakan perintah berikut ini:

aws s3control describe-multi-region-access-point-operation
--account-id 111122223333
--request-token-arn requestArn

Untuk mengambil kebijakan Titik Akses Multi-Wilayah, gunakan perintah berikut:

aws s3control get-multi-region-access-point-policy
--account-id 111122223333
--name=amzn-s3-demo-bucket-MultiRegionAccessPoint

Mengedit kebijakan Titik Akses Multi-Wilayah

Kebijakan Titik Akses Multi-Wilayah (ditulis dalam JSON) menyediakan akses penyimpanan ke bucket Amazon S3 yang digunakan dengan Titik Akses Multi-Wilayah ini. Anda dapat mengizinkan atau menolak pengguna utama tertentu untuk melakukan berbagai tindakan pada Titik Akses Multi-Wilayah. Ketika permintaan dirutekan ke bucket melalui Titik Akses Multi-Wilayah, maka kebijakan akses untuk Titik Akses Multi-Wilayah dan bucket akan diberlakukan. Kebijakan akses yang lebih ketat selalu diutamakan.

Setelah Anda menerapkan kebijakan Titik Akses Multi-Wilayah, kebijakan tersebut tidak dapat dihapus. Anda dapat mengedit kebijakan atau membuat kebijakan baru yang menimpa kebijakan yang sudah ada.

Contoh kebijakan Titik Akses Multi-Wilayah

Kebijakan sumber daya dukungan AWS Identity and Access Management (IAM) Amazon S3 Multi-Region Access Points (IAM). Anda dapat menggunakan kebijakan ini untuk mengontrol penggunaan Titik Akses Multi-Wilayah berdasarkan sumber daya, pengguna, atau ketentuan lainnya. Agar aplikasi atau pengguna dapat mengakses objek melalui Titik Akses Multi-Wilayah, baik Titik Akses Multi-Wilayah maupun bucket yang mendasarinya harus mengizinkan akses yang sama.

Untuk mengizinkan akses yang sama ke Titik Akses Multi-Wilayah dan bucket yang mendasarinya, lakukan salah satu hal berikut:

{
    "Version": "2012-10-17",
    "Statement" : [
    {
        "Effect": "Allow",
        "Principal" : { "AWS": "*" },
        "Action" : "*",
        "Resource" : [ "Bucket ARN", "Bucket ARN/*"],
        "Condition": {
            "StringEquals" : { "s3:DataAccessPointArn" : "MultiRegionAccessPoint_ARN" }
        }
    }]
}

{
  "Version":"2012-10-17",
  "Statement": [
    {
       "Effect": "Allow",
       "Principal": {
          "AWS":"arn:aws:iam::123456789012:user/JohnDoe"
       },
       "Action":[
          "s3:ListBucket",
          "s3:GetObject"
       ],
       "Resource":[ 
          "MultiRegionAccessPoint_ARN",
          "MultiRegionAccessPoint_ARN/object/*"
       ]
     }
  ]
}

{
   "Version":"2012-10-17",
   "Statement": [
      {
       "Effect": "Allow",
       "Principal": {
        "AWS": "arn:aws:iam::123456789012:user/JohnDoe"
        },
        "Action": "s3:ListBucket",
        "Resource": "MultiRegionAccessPoint_ARN"
       }
    ]
}