Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Mengkonfigurasi akses jaringan untuk titik akses Amazon S3

Saat membuat titik akses Amazon S3 untuk volume FSx untuk ONTAP, Anda mengonfigurasi cara titik akses dapat dijangkau melalui jaringan dan siapa yang berwenang untuk menggunakannya. Bagian ini membantu Anda memilih konfigurasi jaringan dan kontrol akses yang tepat untuk lingkungan Anda.

Bagian ini mencakup lapisan otorisasi jaringan dan IAM — khususnya, asal jaringan titik akses, titik akhir VPC, kebijakan titik akses, kebijakan titik akhir VPC, kebijakan identitas IAM, dan kebijakan kontrol layanan. Untuk informasi tentang otorisasi tingkat sistem file (izin pengguna UNIX dan Windows), lihat. Identitas dan otorisasi pengguna sistem file

Cara Amazon S3 mengevaluasi permintaan titik akses

Ketika permintaan dibuat melalui titik akses Amazon S3 yang dilampirkan ke FSx untuk volume ONTAP, permintaan harus diotorisasi oleh semua lapisan berikut:

Pemeriksaan asal jaringan terjadi sebelum evaluasi kebijakan. Lapisan yang tersisa dievaluasi bersama sebagai bagian dari keputusan otorisasi IAM standar — Penolakan eksplisit di setiap lapisan mengesampingkan pernyataan Izinkan di lapisan lain.

Memilih asal jaringan

Saat membuat titik akses Amazon S3, Anda memilih sumber jaringan yang menentukan bagaimana titik akses dapat dijangkau. Anda tidak dapat mengubah asal jaringan setelah pembuatan.

Asal internet

Titik akses dengan asal jaringan internet mirip dengan cara bucket S3 diakses secara default. Semua permintaan masih memerlukan kredensi dan otorisasi IAM yang valid — asal internet tidak berarti akses publik atau anonim. Amazon S3 memberlakukan Blokir Akses Publik pada semua titik akses yang dilampirkan ke FSx untuk volume ONTAP, dan Anda tidak dapat menonaktifkan pengaturan ini.

Dengan asal internet, permintaan yang diautentikasi dapat datang dari mana saja — VPC, jaringan lokal, AWS akun lain, atau internet publik. Anda mengontrol pemanggil yang diautentikasi mana yang diizinkan menggunakan kebijakan titik akses dan kebijakan identitas IAM.

Dengan internet origin, Anda mengontrol akses menggunakan kebijakan titik akses dan kebijakan identitas IAM. Untuk pemanggil akun yang sama, gunakan pernyataan Tolak eksplisit dalam kebijakan titik akses untuk membatasi akses — kebijakan tidak cukup karena Allow-only kebijakan identitas IAM pemanggil dapat memberikan akses secara independen. Untuk pemanggil lintas akun, kebijakan titik akses harus secara eksplisit Izinkan permintaan, jadi menghilangkan Izinkan sudah cukup untuk memblokir akses.

Asal VPC

Titik akses dengan asal jaringan VPC terikat ke VPC tertentu dan secara efektif berperilaku sebagai pernyataan kebijakan Tolak eksplisit yang menolak permintaan apa pun yang aws:SourceVpc tidak cocok dengan VPC terikat. Karena Penolakan eksplisit selalu mengesampingkan Izinkan apa pun, bahkan kebijakan titik akses yang sepenuhnya permisif atau kebijakan identitas IAM tidak dapat memberikan akses ke permintaan dari luar VPC terikat.

Penelepon di luar VPC terikat masih dapat mengakses titik akses jika lalu lintas mereka dirutekan melalui titik akhir VPC di VPC terikat — misalnya, melalui peering VPC atau Transit Gateway ke titik akhir Antarmuka Amazon S3 yang digunakan di VPC terikat.

Perbedaan utama

Cara kerja penegakan asal VPC

Ketika titik akses memiliki sumber jaringan VPC, titik akses secara efektif berperilaku seolah-olah ada pernyataan kebijakan Tolak eksplisit yang menolak semua permintaan di mana aws:SourceVpc tidak sama dengan ID VPC yang ditentukan dalam titik akses. VpcConfiguration Penolakan ini berlaku untuk semua prinsipal, semua tindakan Amazon S3, dan semua sumber daya dalam titik akses.

Karena ini adalah Penolakan eksplisit, pernyataan Izinkan akan menggantikan pernyataan Izinkan apa pun — baik dalam kebijakan titik akses, kebijakan identitas IAM pemanggil, atau kebijakan lainnya.

Dalam praktiknya, ini berarti:

Ini juga mengapa pesan kesalahan untuk permintaan yang ditolak mengatakan “penolakan eksplisit dalam kebijakan berbasis sumber daya.”

Asal VPC vs. asal internet dengan Deny eksplisit

T VPC-origin itik akses dan titik akses asal internet dengan Deny yang ditulis StringNotEquals aws:SourceVpc secara manual mencapai hasil yang sama — keduanya menolak permintaan bukan dari VPC yang ditentukan. Perbedaan utamanya adalah:

Menggunakan titik akhir VPC dengan titik akses Amazon S3

Titik akses Amazon S3 berfungsi dengan kedua jenis titik akhir VPC untuk Amazon S3. Jenis titik akhir yang Anda butuhkan tergantung di mana penelepon Anda berada.

Titik akhir Gateway

Titik akhir gateway gratis dan berbasis tabel rute. Saat Anda membuat titik akhir Gateway, rute ditambahkan ke tabel rute tertentu yang mengarahkan lalu lintas Amazon S3 melalui titik akhir. Rute ini hanya berlaku untuk lalu lintas yang berasal dari VPC.

Gunakan titik akhir Gateway untuk:

Titik akhir gateway tidak merut ekan lalu lintas yang memasuki VPC dari:

Untuk informasi selengkapnya, lihat Titik akhir Gateway untuk Amazon S3 di Panduan Pengguna Amazon VPC.

Endpoint Antarmuka

Titik akhir antarmuka membuat antarmuka jaringan elastis (ENI) dengan alamat IP pribadi di subnet Anda. Lalu lintas harus secara eksplisit diarahkan ke nama DNS titik akhir atau IP pribadi.

Gunakan titik akhir Antarmuka untuk:

Saat menggunakan titik akhir Antarmuka, pemanggil harus:

Titik akhir antarmuka memiliki biaya per jam dan per GB. Untuk informasi selengkapnya, lihat harga AWS PrivateLink.

Menggunakan kedua tipe titik akhir bersama-sama

Anda dapat menerapkan titik akhir Gateway dan titik akhir Antarmuka di VPC yang sama. Konfigurasi ini berguna jika Anda memiliki pemanggil in-VPC dan pemanggil lokal:

Kedua tipe titik akhir mengisi aws:SourceVpc atribut dengan ID VPC, sehingga keduanya memenuhi kondisi Penolakan asal VPC.

Kebijakan VPC endpoint

Kebijakan titik akhir VPC mengontrol sumber daya Amazon S3 mana yang dapat diakses melalui titik akhir. Secara default, titik akhir VPC memungkinkan semua tindakan Amazon S3 pada semua sumber daya. Anda dapat menjangkau kebijakan titik akhir untuk mengizinkan hanya titik akses tertentu:

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point",
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point/object/*"
            ]
        }
    ]
}

Kebijakan titik akses

Kebijakan sumber daya Amazon S3 mendukung titik akses AWS Identity and Access Management (IAM) yang memungkinkan Anda mengontrol penggunaan titik akses berdasarkan sumber daya, pengguna, atau kondisi lainnya. Untuk akses lintas akun, kebijakan titik akses dan kebijakan identitas IAM penelepon harus mengizinkan permintaan tersebut. Untuk akses akun yang sama, kebijakan titik akses atau kebijakan identitas IAM pemanggil dapat memberikan akses secara independen — untuk membatasi pemanggil akun yang sama, gunakan pernyataan Tolak eksplisit dalam kebijakan titik akses. Jika permintaan melintasi titik akhir VPC, kebijakan titik akhir VPC juga harus mengizinkan permintaan tersebut.

Untuk informasi selengkapnya tentang kebijakan titik akses, lihat Meng onfigurasi kebijakan IAM untuk menggunakan titik akses di Panduan Pengguna Layanan Penyimpanan Sederhana Amazon.

Kunci kondisi untuk kontrol akses berbasis jaringan

IAM menyediakan kunci kondisi global yang dapat Anda gunakan dalam kebijakan titik akses untuk mengontrol akses berdasarkan properti jaringan permintaan. Kunci kondisi ini disertakan dalam konteks permintaan hanya dalam keadaan tertentu, seperti yang dijelaskan dalam tabel berikut.

Untuk informasi selengkapnya tentang kunci kondisi global IAM, lihat kunci konteks kondisi AWS global di Panduan Pengguna IAM.

Contoh alur perencanaan

Skenario contoh berikut menunjukkan konfigurasi umum untuk titik akses Amazon S3 yang dilampirkan ke FSx untuk volume ONTAP. Setiap skenario mencakup asal jaringan yang direkomendasikan, jenis titik akhir VPC, dan kebijakan titik akses.

Akses VPC tunggal

Kasus penggunaan: Instans Amazon EC2, fungsi Lambda, atau tugas Amazon ECS dalam satu VPC mengakses titik akses. Tidak diperlukan akses eksternal.

Dengan asal jaringan VPC:

Konfigurasi asal VPC secara efektif menolak permintaan yang aws:SourceVpc tidak cocok dengan VPC terikat. Permintaan dari VPC lain, internet, atau jaringan lokal ditolak. Anda dapat menggunakan titik akhir Gateway atau Antarmuka Amazon S3 VPC.

Contoh kebijakan titik akses (asal VPC): Dengan asal VPC, pembatasan jaringan dibangun. Kebijakan titik akses hanya perlu memberikan izin yang diinginkan.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {"AWS": "arn:aws:iam::123456789012:role/my-app-role"},
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point",
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point/object/*"
            ]
        }
    ]
}

Dengan asal jaringan Internet:

Dengan internet origin, Anda membatasi akses ke VPC menggunakan aws:SourceVpc kondisi dalam kebijakan titik akses (dengan Tolak eksplisit). Titik akhir VPC diperlukan agar aws:SourceVpc diisi pada permintaan.

Contoh kebijakan titik akses (asal internet): Kebijakan ini mencakup Izinkan dengan kondisi VPC dan Tolak untuk permintaan bukan dari VPC.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {"AWS": "arn:aws:iam::123456789012:role/my-app-role"},
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point",
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point/object/*"
            ],
            "Condition": {
                "StringEquals": {"aws:SourceVpc": "vpc-1a2b3c4d"}
            }
        },
        {
            "Effect": "Deny",
            "Principal": "*",
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point",
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point/object/*"
            ],
            "Condition": {
                "StringNotEquals": {"aws:SourceVpc": "vpc-1a2b3c4d"}
            }
        }
    ]
}

On-premises dan akses VPC

Kasus penggunaan: Pengguna lokal (melalui VPN atau Direct Connect) dan sumber daya komputasi dalam VPC mengakses titik akses. Semua lalu lintas tetap pribadi.

Titik akhir Gateway (lalu lintas in-VPC) dan titik akhir Antarmuka (lalu lintas on-prem) berada di VPC yang sama, sehingga keduanya memenuhi kondisi Deny asal VPC.

Multi-VPC akses

Kasus penggunaan: Penelepon di beberapa VPC perlu mengakses titik akses yang sama. Misalnya, aplikasi di VPC terpisah dalam akun yang sama, atau VPC di akun berbeda yang terhubung melalui peering VPC atau Transit Gateway.

Ada dua pendekatan untuk akses multi-VPC, tergantung pada apakah Anda ingin menggunakan kontrol berbasis kebijakan atau penegakan jaringan asal VPC.

Opsi 1: Asal Internet dengan titik akhir Gateway di setiap VPC

Setiap VPC memiliki titik akhir Amazon S3 Gateway sendiri. Penelep aws:SourceVpc on di setiap VPC mengakses titik akses melalui titik akhir Gateway lokal mereka, yang mengisi permintaan. Kebijakan titik akses membatasi akses ke ID VPC yang diizinkan.

Opsi ini lebih mudah diatur karena setiap VPC beroperasi secara independen — tidak diperlukan peering VPC atau Transit Gateway. Untuk menambah atau menghapus VPC, perbarui kebijakan titik akses.

Opsi 2: Asal VPC dengan titik akhir Antarmuka terpusat

Satu VPC menghosting titik akhir Antarmuka Amazon S3, dan titik akses dibuat dengan asal VPC terikat ke VPC tersebut. VPC lain merutekan lalu lintas Amazon S3 mereka ke titik akhir Antarmuka melalui peering VPC atau Transit Gateway. Karena semua permintaan tiba melalui titik akhir di VPC terikat, mereka memenuhi penegakan asal VPC.

Opsi ini memberikan penegakan yang lebih kuat karena pembatasan asal VPC tidak dapat dilewati melalui perubahan kebijakan. Namun, ini memerlukan konektivitas peering VPC atau Transit Gateway, dan titik akhir Antarmuka memiliki biaya per jam dan per GB. Untuk informasi selengkapnya tentang titik akhir Antarmuka, lihat AWS PrivateLink untuk Amazon S3 di Panduan Pengguna Layanan Penyimpanan Sederhana Amazon.

Memecahkan masalah akses jaringan

Ketika permintaan titik akses Amazon S3 gagal, pesan kesalahan seringkali tidak menunjukkan lapisan otorisasi mana yang menolak permintaan. Gunakan panduan berikut untuk mendiagnosis masalah umum.

AccessDenied dengan “penolakan eksplisit dalam kebijakan berbasis sumber daya”

Kesalahan ini bisa berasal dari berbagai sumber. Kerjakan pemeriksaan berikut secara berurutan:

1. Periksa asal VPC Deny (hanya titik VPC-origin akses)

Jika titik akses memiliki asal jaringan VPC, itu secara efektif menolak permintaan yang aws:SourceVpc tidak cocok dengan VPC terikat. Verifikasi bahwa:

2. Periksa kebijakan titik akhir VPC

Jika permintaan melintasi titik akhir VPC, kebijakan titik akhir harus mengizinkan tindakan pada sumber daya titik akses. Kebijakan titik akhir default mengizinkan semua tindakan pada semua sumber daya. Jika Anda telah menentukan cakupan kebijakan, verifikasi bahwa kebijakan tersebut menyertakan titik akses ARN.

3. Periksa kebijakan titik akses

Verifikasi bahwa kebijakan titik akses mengizinkan kepala sekolah yang meminta. Periksa pernyataan Tolak dengan kondisi yang mungkin cocok dengan permintaan.

4. Periksa kebijakan identitas IAM penelepon

Peran atau pengguna IAM pemanggil harus memiliki izin untuk melakukan tindakan Amazon S3 pada titik akses ARN.

5. Periksa kebijakan kontrol layanan (SCP)

Jika akun tersebut merupakan bagian dari AWS organisasi Organisasi, verifikasi bahwa tidak ada SCP yang menolak tindakan Amazon S3 pada titik akses.

On-premises penelepon mendapatkan AccessDenied tetapi penelepon in-VPC berhasil

Ini biasanya berarti lalu lintas lokal tidak merutekan melalui titik akhir VPC:

Kondisi kebijakan titik akses tampaknya tidak berpengaruh