Autorizzazioni

Gli access point multiregionali di Amazon S3 possono semplificare l'accesso multiplo ai dati per i bucket Amazon S3. Regioni AWS I punti di accesso multi-regione sono endpoint globali denominati che possono essere utilizzati per eseguire operazioni su oggetti di accesso ai dati di Amazon S3, ad esempio GetObject e PutObject. Ogni punto di accesso multi-regione può disporre di autorizzazioni e controlli di rete distinti per qualsiasi richiesta eseguita tramite l'endpoint globale.

Ogni punto di accesso multi-regione può inoltre applicare una policy di accesso personalizzata che funziona in combinazione con la policy di bucket collegata al bucket sottostante. Affinché una richiesta abbia esito positivo, è necessario che tutti i seguenti elementi consentano l'operazione:

È possibile configurare qualsiasi policy Multi-Region Access Point per accettare richieste solo da IAM utenti o gruppi specifici. Per un esempio su come eseguire questa operazione, consulta l'esempio 2 in Esempi di policy dei punti di accesso multi-regione. Per limitare l'accesso ai dati di Amazon S3 a una rete privata, puoi configurare la policy Multi-Region Access Point in modo che accetti le richieste solo da un cloud privato virtuale (). VPC

Ad esempio, supponiamo di effettuare una GetObject richiesta tramite un punto di accesso multiregionale utilizzando un utente chiamato AppDataReader nel tuo account. AWS Per far sì che la richiesta non venga negata, l'utente AppDataReader deve ricevere l'autorizzazione s3:GetObject dal punto di accesso multi-regione e da ogni relativo bucket sottostante. AppDataReader non sarà in grado di recuperare i dati dai bucket che non concedono questa autorizzazione.

Gestione dell'accesso pubblico a un punto di accesso multi-regione

I punti di accesso multi-regione supportano impostazioni di blocco dell'accesso pubblico indipendenti per ciascun punto di accesso. Quando crei un punto di accesso multi-regione puoi specificare le impostazioni di blocco dell'accesso pubblico applicabili.

Per qualsiasi richiesta eseguita tramite un punto di accesso multi-regione, Amazon S3 valuta le impostazioni di Blocco dell'accesso pubblico Amazon S3 per:

Se una di queste impostazioni indica che la richiesta deve essere bloccata, Amazon S3 rifiuta la richiesta. Per ulteriori informazioni sulla caratteristica di blocco dell'accesso pubblico di Amazon S3, consulta Blocco dell'accesso pubblico allo storage Amazon S3.

Visualizzazione delle impostazioni di Blocco dell'accesso pubblico Amazon S3 per un punto di accesso multi-regione

Utilizzo di una policy dei punti di accesso multi-regione

Il seguente esempio di politica Multi-Region Access Point consente a un IAM utente di accedere all'elenco e al download di file dal punto di accesso multiregionale. Per utilizzare questa policy di esempio, sostituisci user input placeholders con le tue informazioni.

 {
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Principal":{
            "AWS":"arn:aws:iam::123456789012:user/JohnDoe" 
         },
         "Action":[
            "s3:ListBucket",
            "s3:GetObject"
         ],
         "Resource":[
            "arn:aws:s3::111122223333:accesspoint/MultiRegionAccessPoint_alias",
            "arn:aws:s3::111122223333:accesspoint/MultiRegionAccessPoint_alias/object/*"
         ]
      }
   ]
}

Per associare la policy dei punti di accesso multi-regione al punto di accesso multi-regione specificato mediante AWS Command Line Interface (AWS CLI), utilizza il comando put-multi-region-access-point-policy seguente. Per utilizzare questo comando di esempio, sostituisci user input placeholders con le tue informazioni. Ogni punto di accesso multi-regione può avere una sola policy, quindi una richiesta effettuata per l'operazione put-multi-region-access-point-policy sostituisce qualsiasi policy esistente associata al punto di accesso multi-regione specificato.

Per esaminare i risultati dell'operazione precedente, utilizza il comando seguente:

Per recuperare la policy dei punti di accesso multi-regione, utilizza il comando seguente:

Modifica della policy dei punti di accesso multi-regione

La policy Multi-Region Access Point (scritta inJSON) fornisce l'accesso allo storage ai bucket Amazon S3 utilizzati con questo punto di accesso multiregionale. Puoi consentire o negare a principali specifici di eseguire varie azioni sul tuo punto di accesso multi-regione. Quando una richiesta viene instradata a un bucket tramite il punto di accesso multi-regione, si applicano le policy di accesso per il punto di accesso multi-regione e per il bucket. La policy di accesso più restrittiva ha sempre la precedenza.

Dopo aver applicato una policy dei punti di accesso multi-regione, tale policy non può essere eliminata. È possibile modificare la policy o creare una nuova policy che sovrascriva quella esistente.

Esempi di policy dei punti di accesso multi-regione

I punti di accesso multiregionali di Amazon S3 supportano le politiche delle risorse AWS Identity and Access Management (IAM). È possibile utilizzare queste policy per controllare l'utilizzo del punto di accesso multi-regione per risorsa, utente o altre condizioni. Affinché un'applicazione o un utente possa accedere agli oggetti tramite un punto di accesso multi-regione, sia il punto di accesso multi-regione che il bucket sottostante devono consentire la stessa richiesta.

Per consentire lo stesso accesso sia al punto di accesso multi-regione che al bucket sottostante, esegui una delle seguenti operazioni:

{
    "Version": "2012-10-17",
    "Statement" : [
    {
        "Effect": "Allow",
        "Principal" : { "AWS": "*" },
        "Action" : "*",
        "Resource" : [ "Bucket ARN", "Bucket ARN/*"],
        "Condition": {
            "StringEquals" : { "s3:DataAccessPointArn" : "MultiRegionAccessPoint_ARN" }
        }
    }]
}

{
  "Version":"2012-10-17",
  "Statement": [
    {
       "Effect": "Allow",
       "Principal": {
          "AWS":"arn:aws:iam::123456789012:user/JohnDoe"
       },
       "Action":[
          "s3:ListBucket",
          "s3:GetObject"
       ],
       "Resource":[ 
          "MultiRegionAccessPoint_ARN",
          "MultiRegionAccessPoint_ARN/object/*"
       ]
     }
  ]
}

{
   "Version":"2012-10-17",
   "Statement": [
      {
       "Effect": "Allow",
       "Principal": {
        "AWS": "arn:aws:iam::123456789012:user/JohnDoe"
        },
        "Action": "s3:ListBucket",
        "Resource": "MultiRegionAccessPoint_ARN"
       }
    ]
}