Manajemen Akses

Di AWS, sumber daya adalah entitas yang dapat Anda gunakan. Di Amazon Simple Storage Service (S3), bucket dan objek adalah sumber daya Amazon S3 asli. Setiap pelanggan S3 kemungkinan memiliki ember dengan benda-benda di dalamnya. Karena fitur baru ditambahkan ke S3, sumber daya tambahan juga ditambahkan, tetapi tidak setiap pelanggan menggunakan sumber daya khusus fitur ini. Untuk informasi selengkapnya tentang sumber daya Amazon S3, lihat. Sumber daya S3

Secara default, semua sumber daya Amazon S3 bersifat pribadi. Secara default, pengguna root dari Akun AWS yang menciptakan sumber daya (pemilik sumber daya) dan pengguna IAM dalam akun itu dengan izin yang diperlukan dapat mengakses sumber daya yang mereka buat. Pemilik sumber daya memutuskan siapa lagi yang dapat mengakses sumber daya dan tindakan yang diizinkan dilakukan orang lain pada sumber daya. S3 memiliki berbagai alat manajemen akses yang dapat Anda gunakan untuk memberi orang lain akses ke sumber daya S3 Anda.

Bagian berikut memberi Anda gambaran umum tentang sumber daya S3, alat manajemen akses S3 yang tersedia, dan kasus penggunaan terbaik untuk setiap alat manajemen akses. Daftar di bagian ini bertujuan untuk menjadi komprehensif dan mencakup semua sumber daya S3, alat manajemen akses, dan kasus penggunaan manajemen akses umum. Pada saat yang sama, bagian ini dirancang untuk menjadi direktori yang mengarahkan Anda ke detail teknis yang Anda inginkan. Jika Anda memiliki pemahaman yang baik tentang beberapa topik berikut, Anda dapat melompat ke bagian yang berlaku untuk Anda.

Sumber daya S3

Sumber daya Amazon S3 asli adalah ember dan objek yang dikandungnya. Karena fitur baru ditambahkan ke S3, sumber daya baru juga ditambahkan. Berikut ini adalah daftar lengkap sumber daya S3 dan fitur-fiturnya masing-masing.

Bucket

Ada dua jenis bucket Amazon S3: ember tujuan umum dan ember direktori.

Mengkategorikan sumber daya S3

Amazon S3 menyediakan fitur untuk mengkategorikan dan mengatur sumber daya S3 Anda. Mengkategorikan sumber daya Anda tidak hanya berguna untuk mengaturnya, tetapi Anda juga dapat menetapkan aturan manajemen akses berdasarkan kategori sumber daya. Secara khusus, awalan dan penandaan adalah dua fitur organisasi penyimpanan yang dapat Anda gunakan saat mengatur izin manajemen akses.

Identitas

Di Amazon S3, pemilik sumber daya adalah identitas yang menciptakan sumber daya, seperti ember atau objek. Secara default, hanya pengguna root akun yang membuat sumber daya dan identitas IAM dalam akun yang memiliki izin yang diperlukan dapat mengakses sumber daya S3. Pemilik sumber daya dapat memberikan identitas lain akses ke sumber daya S3 mereka.

Identitas yang tidak memiliki sumber daya dapat meminta akses ke sumber daya tersebut. Permintaan ke sumber daya diautentikasi atau tidak diautentikasi. Permintaan yang diautentikasi harus menyertakan nilai tanda tangan yang mengautentikasi pengirim permintaan, tetapi permintaan yang tidak diautentikasi tidak memerlukan tanda tangan. Kami menyarankan Anda memberikan akses hanya kepada pengguna yang diautentikasi. Untuk informasi lebih lanjut tentang autentikasi permintaan, lihat Membuat permintaan.

Identitas mengakses data Anda di Amazon S3 dapat menjadi salah satu dari yang berikut:

Akun AWS pemilik

Akun AWS Yang menciptakan sumber daya. Misalnya, akun yang membuat ember. Akun ini memiliki sumber daya. Untuk informasi selengkapnya, lihat pengguna root AWS akun.

Identitas IAM di akun pemilik yang sama Akun AWS

Saat menyiapkan akun untuk anggota tim baru yang memerlukan akses S3, Akun AWS pemilik dapat menggunakan AWS Identity and Access Management (IAM) untuk membuat pengguna, grup, dan peran. Akun AWS Pemilik kemudian dapat berbagi sumber daya dengan identitas IAM ini. Pemilik akun juga dapat menentukan izin untuk memberikan identitas IAM, yang memungkinkan atau menolak tindakan yang dapat dilakukan pada sumber daya bersama.

Identitas IAM memberikan peningkatan kemampuan, termasuk kemampuan untuk meminta pengguna memasukkan kredensi login sebelum mengakses sumber daya bersama. Dengan menggunakan identitas IAM, Anda dapat menerapkan bentuk otentikasi multi-faktor IAM (MFA) untuk mendukung fondasi identitas yang kuat. Praktik terbaik IAM adalah membuat peran untuk manajemen akses alih-alih memberikan izin kepada setiap pengguna individu. Anda menetapkan pengguna individu ke peran yang sesuai. Untuk informasi selengkapnya, lihat Praktik terbaik keamanan di IAM.

Pemilik AWS akun lain dan identitas IAM mereka (akses lintas akun)

Akun AWS Pemilik juga dapat memberikan pemilik AWS akun lain, atau identitas IAM milik AWS akun lain, akses ke sumber daya.

Pengguna anonim (akses publik)

Akun AWS Pemilik dapat membuat sumber daya publik. Membuat sumber daya publik secara teknis berbagi sumber daya dengan pengguna anonim. Bucket yang dibuat sejak April 2023 memblokir semua akses publik secara default, kecuali jika Anda mengubah pengaturan ini. Kami menyarankan Anda mengatur bucket untuk memblokir akses publik, dan Anda hanya memberikan akses ke pengguna yang diautentikasi. Untuk informasi lebih lanjut tentang pemblokiran akses publik, lihat Melakukan blok akses publik ke penyimpanan Amazon S3 Anda.

Layanan AWS

Pemilik sumber daya dapat memberikan akses AWS layanan lain ke sumber daya Amazon S3. Misalnya, Anda dapat memberikan s3:PutObject izin AWS CloudTrail layanan untuk menulis file log ke bucket Anda. Untuk informasi selengkapnya, lihat Menyediakan akses ke AWS layanan.

Identitas direktori perusahaan

Pemilik sumber daya dapat memberikan pengguna atau peran dari direktori perusahaan Anda akses ke sumber daya S3 dengan menggunakan S3 Access Grants. Untuk informasi selengkapnya tentang menambahkan direktori perusahaan Anda AWS IAM Identity Center, lihat Apa itu Pusat Identitas IAM? .

Pemilik ember atau sumber daya

Akun AWS Yang Anda gunakan untuk membuat bucket dan mengunggah objek memiliki sumber daya tersebut. Pemilik bucket dapat memberikan izin lintas akun kepada orang lain Akun AWS (atau pengguna di akun lain) untuk mengunggah objek.

Ketika pemilik bucket mengizinkan akun lain untuk mengunggah objek ke bucket, pemilik bucket, secara default, memiliki semua objek yang diunggah ke bucket mereka. Namun, jika pengaturan bucket yang dipaksakan oleh pemilik Bucket dan pemilik Bucket dinonaktifkan, Akun AWS yang mengunggah objek memiliki objek tersebut, dan pemilik bucket tidak memiliki izin pada objek yang dimiliki oleh akun lain, dengan pengecualian berikut:

Alat manajemen akses

Amazon S3 menyediakan beragam fitur dan alat keamanan. Berikut ini adalah daftar lengkap fitur dan alat ini. Anda tidak memerlukan semua alat manajemen akses ini, tetapi Anda harus menggunakan satu atau lebih untuk memberikan akses ke sumber daya Amazon S3 Anda. Aplikasi yang tepat dari alat-alat ini dapat membantu memastikan bahwa sumber daya Anda hanya dapat diakses oleh pengguna yang dituju.

Alat manajemen akses yang paling umum digunakan adalah kebijakan akses. Kebijakan akses dapat berupa kebijakan berbasis sumber daya yang dilampirkan ke AWS sumber daya, seperti kebijakan bucket untuk bucket. Kebijakan akses juga dapat berupa kebijakan berbasis identitas yang dilampirkan pada identitas AWS Identity and Access Management (IAM), seperti pengguna, grup, atau peran IAM. Tulis kebijakan akses untuk memberikan Akun AWS izin kepada pengguna, grup, dan peran IAM untuk melakukan operasi pada sumber daya. Misalnya, Anda dapat memberikan PUT Object izin kepada yang lain Akun AWS sehingga akun lain dapat mengunggah objek ke bucket Anda.

Kebijakan akses menjelaskan siapa yang memiliki akses ke hal-hal apa. Saat Amazon S3 menerima permintaan, Amazon S3 harus mengevaluasi semua kebijakan akses untuk menentukan apakah akan mengotorisasi atau menolak permintaan tersebut. Untuk informasi lebih lanjut tentang cara Amazon S3 mengevaluasi kebijakan ini, lihat Bagaimana Amazon S3 Mengotorisasi Permintaan.

Berikut ini adalah alat manajemen akses yang tersedia di Amazon S3.

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid":"BucketLevelReadPermissions",
      "Effect":"Allow",
      "Principal": {
	    "AWS": "arn:aws:iam::123456789101:role/s3-role"
      },
      "Action":["s3:GetObject"],
      "Resource":["arn:aws:s3:::DOC-EXAMPLE-BUCKET1/*"]
    }]
  }

{
  "Version": "2012-10-17",
  "Statement": [
  {
    "Sid": "AssignARoleActions",
    "Effect": "Allow",
    "Action": [
	  "s3:PutObject",
	  "s3:GetObject",
	  "s3:ListBucket",
	  "s3:DeleteObject",
	  "s3:GetBucketLocation"
    ],
    "Resource": [
	  "arn:aws:s3:::DOC-EXAMPLE-BUCKET1/*",
	  "arn:aws:s3:::DOC-EXAMPLE-BUCKET1"
    ]
    },
  {
    "Sid": "AssignARoleActions2",
    "Effect": "Allow",
    "Action": "s3:ListAllMyBuckets",
    "Resource": "*"
  }
  ]
}

<?xml version="1.0" encoding="UTF-8"?>
	<AccessControlPolicy xmlns="http://s3.amazonaws.com/doc/2006-03-01/">
		<Owner>
			<ID>Owner-Canonical-User-ID</ID>
			<DisplayName>owner-display-name</DisplayName>
		</Owner>
	<AccessControlList>
		<Grant>
			<Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="Canonical User">
				<ID>Owner-Canonical-User-ID</ID>
				<DisplayName>display-name</DisplayName>
			</Grantee>
			<Permission>FULL_CONTROL</Permission>
		</Grant>
	</AccessControlList>
</AccessControlPolicy> 		

Praktik terbaik tambahan

Pertimbangkan untuk menggunakan pengaturan dan alat bucket berikut untuk membantu melindungi data saat transit dan saat istirahat, keduanya sangat penting dalam menjaga integritas dan aksesibilitas data Anda:

Tindakan

Untuk daftar lengkap izin dan kunci kondisi S3, lihat Kunci tindakan, sumber daya, dan kondisi untuk Amazon S3 di Referensi Otorisasi Layanan.

Tindakan

Tindakan AWS Identity and Access Management (IAM) untuk Amazon S3 adalah kemungkinan tindakan yang dapat dilakukan pada bucket atau objek S3. Anda memberikan tindakan ini ke identitas sehingga mereka dapat bertindak berdasarkan sumber daya S3 Anda. Contoh tindakan S3 adalah s3:GetObject membaca objek dalam ember, dan s3:PutObject menulis objek ke ember.

Kunci syarat

Selain tindakan, kunci kondisi IAM dibatasi untuk memberikan akses hanya ketika suatu kondisi terpenuhi. Kunci kondisi bersifat opsional.

Kasus penggunaan manajemen akses

Amazon S3 menyediakan pemilik sumber daya dengan berbagai alat untuk memberikan akses. Alat manajemen akses S3 yang Anda gunakan bergantung pada sumber daya S3 yang ingin Anda bagikan, identitas yang Anda berikan akses, dan tindakan yang ingin Anda izinkan atau tolak. Anda mungkin ingin menggunakan satu atau kombinasi alat manajemen akses S3 untuk mengelola akses ke sumber daya S3 Anda.

Dalam kebanyakan kasus, Anda dapat menggunakan kebijakan akses untuk mengelola izin. Kebijakan akses dapat berupa kebijakan berbasis sumber daya, yang dilampirkan ke sumber daya, seperti bucket, atau sumber daya Amazon S3 lainnya (). Sumber daya S3 Kebijakan akses juga dapat berupa kebijakan berbasis identitas, yang dilampirkan ke pengguna, grup, atau peran AWS Identity and Access Management (IAM) di akun Anda. Anda mungkin menemukan bahwa kebijakan bucket berfungsi lebih baik untuk kasus penggunaan Anda. Untuk informasi selengkapnya, lihat Kebijakan bucket untuk Amazon S3. Atau, dengan AWS Identity and Access Management (IAM), Anda dapat membuat pengguna, grup, dan peran IAM dalam diri Anda Akun AWS dan mengelola akses mereka ke bucket dan objek melalui kebijakan berbasis identitas. Untuk informasi selengkapnya, lihat Kebijakan berbasis identitas untuk Amazon S3.

Untuk membantu Anda menavigasi opsi manajemen akses ini, berikut ini adalah kasus penggunaan pelanggan Amazon S3 yang umum dan rekomendasi untuk masing-masing alat manajemen akses S3.

Pemecahan masalah manajemen akses

Sumber daya berikut dapat membantu Anda memecahkan masalah apa pun dengan manajemen akses S3:

Pemecahan Masalah Kesalahan Akses Ditolak (403 Terlarang)

Jika Anda mengalami masalah penolakan akses, periksa pengaturan tingkat akun dan tingkat ember. Juga, periksa fitur manajemen akses yang Anda gunakan untuk memberikan akses untuk memastikan bahwa kebijakan, pengaturan, atau konfigurasi sudah benar. Untuk informasi selengkapnya tentang penyebab umum kesalahan Akses Ditolak (403 Terlarang) di Amazon S3, lihat. Pecahkan masalah kesalahan Akses Ditolak (403 Forbidden) di Amazon S3

Penganalisis Akses IAM untuk S3

Jika Anda tidak ingin membuat sumber daya Anda tersedia untuk umum, atau jika Anda ingin membatasi akses publik ke sumber daya Anda, Anda dapat menggunakan IAM Access Analyzer untuk S3. Di konsol Amazon S3, gunakan IAM Access Analyzer untuk S3 untuk meninjau semua bucket yang memiliki daftar kontrol akses bucket (ACL), kebijakan bucket, atau kebijakan titik akses yang memberikan akses publik atau bersama. IAM Access Analyzer for S3 memberi tahu Anda tentang bucket yang dikonfigurasi untuk memungkinkan akses ke siapa pun di internet atau lainnya Akun AWS, termasuk Akun AWS di luar organisasi Anda. Untuk setiap bucket publik atau bucket bersama, Anda akan menerima temuan yang melaporkan sumber dan tingkat akses publik atau akses bersama.

Di IAM Access Analyzer untuk S3, Anda dapat memblokir semua akses publik ke bucket dengan satu tindakan. Kami menyarankan Anda memblokir semua akses publik ke bucket Anda, kecuali Anda memerlukan akses publik untuk mendukung kasus penggunaan tertentu. Sebelum Anda memblokir semua akses publik, pastikan aplikasi Anda akan terus berfungsi dengan benar tanpa akses publik. Untuk informasi selengkapnya, lihat Melakukan blok akses publik ke penyimpanan Amazon S3 Anda.

Anda juga dapat meninjau pengaturan izin tingkat ember Anda untuk mengonfigurasi tingkat akses yang terperinci. Untuk kasus penggunaan tertentu dan terverifikasi yang memerlukan akses publik atau akses bersama, Anda dapat menyatakan dan mencatat maksud Anda untuk bucket agar tetap sebagai bucket dengan akses publik atau akses bersama dengan mengarsipkan temuan untuk bucket tersebut. Anda dapat mempertahankan dan memodifikasi konfigurasi bucket ini kapan saja. Anda juga dapat mengunduh temuan Anda dalam bentuk laporan CSV untuk keperluan audit.

IAM Access Analyzer untuk S3 tersedia tanpa biaya tambahan, yang berada di konsol Amazon S3. Penganalisis Akses IAM untuk S3 didukung oleh Penganalisis Akses IAM (IAM) AWS Identity and Access Management . Untuk menggunakan IAM Access Analyzer untuk S3 di konsol Amazon S3, Anda harus mengunjungi Konsol IAM dan membuat penganalisis tingkat akun di IAM Access Analyzer untuk setiap Wilayah.

Untuk informasi selengkapnya tentang IAM Access Analyzer untuk Amazon S3, lihat Meninjau akses bucket menggunakan IAM Access Analyzer untuk S3.

Pencatatan dan pemantauan

Pemantauan adalah bagian penting dalam menjaga keandalan, ketersediaan, dan kinerja solusi Amazon S3 Anda sehingga Anda dapat lebih mudah men-debug kegagalan akses. Logging dapat memberikan wawasan tentang kesalahan yang diterima pengguna, dan kapan dan permintaan apa yang dibuat. AWS menyediakan beberapa alat untuk memantau sumber daya Amazon S3 Anda, seperti berikut ini:

Untuk informasi selengkapnya, lihat Pencatatan log dan pemantauan di Amazon S3.