Controllo degli accessi in Amazon S3

In AWS, una risorsa è un'entità con cui puoi lavorare. In Amazon Simple Storage Service (S3), i bucket e gli oggetti sono le risorse Amazon S3 originali. È probabile che ogni cliente S3 abbia dei bucket contenenti oggetti. Con l'aggiunta di nuove funzionalità a S3, sono state aggiunte anche risorse aggiuntive, ma non tutti i clienti utilizzano queste risorse specifiche per le funzionalità. Per ulteriori informazioni sulle risorse di Amazon S3, consulta. Risorse S3

Per impostazione predefinita, tutte le risorse Amazon S3 sono private. Inoltre, per impostazione predefinita, l'utente root di chi Account AWS ha creato la risorsa (proprietario della risorsa) e IAM gli utenti all'interno di quell'account con le autorizzazioni necessarie possono accedere a una risorsa da loro creata. Il proprietario della risorsa decide chi altro può accedere alla risorsa e le azioni che altri possono eseguire sulla risorsa. S3 dispone di vari strumenti di gestione degli accessi che puoi utilizzare per concedere ad altri l'accesso alle tue risorse S3.

Le sezioni seguenti forniscono una panoramica delle risorse S3, degli strumenti di gestione degli accessi S3 disponibili e dei migliori casi d'uso per ogni strumento di gestione degli accessi. Gli elenchi contenuti in queste sezioni vogliono essere completi e includono tutte le risorse S3, gli strumenti di gestione degli accessi e i casi d'uso comuni di gestione degli accessi. Allo stesso tempo, queste sezioni sono progettate per essere directory che consentono di accedere ai dettagli tecnici desiderati. Se hai una buona conoscenza di alcuni dei seguenti argomenti, puoi passare alla sezione che ti riguarda.

Per ulteriori informazioni sulle autorizzazioni alle API operazioni S3 in base ai tipi di risorse S3, consulta. Autorizzazioni richieste per le operazioni di Amazon API S3

Argomenti

Risorse S3

Le risorse originali di Amazon S3 sono i bucket e gli oggetti in essi contenuti. Man mano che vengono aggiunte nuove funzionalità a S3, vengono aggiunte anche nuove risorse. Di seguito è riportato un elenco completo delle risorse S3 e delle rispettive funzionalità.

Bucket

Esistono due tipi di bucket Amazon S3: bucket generici e bucket di directory.

Classificazione delle risorse S3

Amazon S3 offre funzionalità per classificare e organizzare le risorse S3. La categorizzazione delle risorse non è utile solo per organizzarle, ma consente anche di impostare regole di gestione degli accessi basate sulle categorie di risorse. In particolare, i prefissi e i tag sono due funzionalità di organizzazione dell'archiviazione che è possibile utilizzare per impostare le autorizzazioni di gestione degli accessi.

Identità

In Amazon S3, il proprietario della risorsa è l'identità che ha creato la risorsa, ad esempio un bucket o un oggetto. Per impostazione predefinita, solo l'utente root dell'account che ha creato la risorsa e IAM le identità all'interno dell'account che dispongono dell'autorizzazione richiesta possono accedere alla risorsa S3. I proprietari delle risorse possono consentire ad altre identità di accedere alle proprie risorse S3.

Le identità che non possiedono una risorsa possono richiedere l'accesso a tale risorsa. Le richieste a una risorsa sono autenticate o non autenticate. Le richieste autenticate devono includere un valore di firma che autentichi il mittente della richiesta, ma le richieste non autenticate non richiedono una firma. Si consiglia di concedere l'accesso solo agli utenti autenticati. Per ulteriori informazioni sull'autenticazione delle richieste, consulta Effettuare richieste in Amazon S3 API Reference.

Le identità che accedono ai tuoi dati in Amazon S3 possono essere una delle seguenti:

Account AWS owner

Account AWS Quello che ha creato la risorsa. Ad esempio, l'account che ha creato il bucket. Questo account possiede la risorsa. Per ulteriori informazioni, vedere AWS account root user.

IAMidentità nello stesso account del proprietario Account AWS

Quando configura gli account per i nuovi membri del team che richiedono l'accesso a S3, il Account AWS proprietario può utilizzare AWS Identity and Access Management (IAM) per creare utenti, gruppi e ruoli. Il Account AWS proprietario può quindi condividere le risorse con queste IAM identità. Il proprietario dell'account può anche specificare le autorizzazioni per fornire IAM le identità, che consentono o negano le azioni che possono essere eseguite sulle risorse condivise.

IAMle identità offrono funzionalità avanzate, inclusa la possibilità di richiedere agli utenti di inserire le credenziali di accesso prima di accedere alle risorse condivise. Utilizzando IAM le identità, è possibile implementare una forma di IAM autenticazione a più fattori (MFA) per supportare una solida base di identità. Una procedura IAM ottimale consiste nel creare ruoli per la gestione degli accessi anziché concedere le autorizzazioni a ogni singolo utente. Assegnate ai singoli utenti il ruolo appropriato. Per ulteriori informazioni, consulta Best practice di sicurezza in IAM.

Altri proprietari di AWS account e relative IAM identità (accesso da più account)

Il Account AWS proprietario può inoltre concedere ad altri proprietari di AWS account o IAM identità che appartengono a un altro AWS account l'accesso alle risorse.

Utenti anonimi (accesso pubblico)

Il Account AWS proprietario può rendere pubbliche le risorse. Rendendo pubblica una risorsa tecnicamente la risorsa viene condivisa con l'utente anonimo. I bucket creati a partire da aprile 2023 bloccano tutti gli accessi pubblici per impostazione predefinita, a meno che non si modifichi questa impostazione. Ti consigliamo di impostare i bucket per bloccare l'accesso pubblico e di concedere l'accesso solo agli utenti autenticati. Per ulteriori informazioni sul blocco dell'accesso pubblico, consulta Blocco dell'accesso pubblico allo storage Amazon S3.

Servizi AWS

Il proprietario della risorsa può concedere a un altro AWS servizio l'accesso a una risorsa Amazon S3. Ad esempio, puoi concedere al AWS CloudTrail servizio l's3:PutObjectautorizzazione a scrivere file di registro nel tuo bucket. Per ulteriori informazioni, vedere Fornire l'accesso a un AWS servizio.

Identità degli elenchi aziendali

Il proprietario della risorsa può concedere agli utenti o ai ruoli della directory aziendale l'accesso a una risorsa S3 utilizzando S3 Access Grants. Per ulteriori informazioni sull'aggiunta della directory aziendale a AWS IAM Identity Center, consulta Cos'è IAM Identity Center? .

Proprietari di bucket o risorse

I bucket Account AWS che usi per creare bucket e caricare oggetti sono i proprietari di tali risorse. Un proprietario del bucket può concedere a un altro Account AWS (o agli utenti di un altro account) autorizzazioni multiaccount per caricare gli oggetti.

Quando il proprietario del bucket consente a un altro account di caricare oggetti in un bucket, il proprietario del bucket, per impostazione predefinita, possiede tutti gli oggetti caricati nel proprio bucket. Tuttavia, se le impostazioni preferite del bucket proprietario del bucket e del proprietario del bucket sono disattivate, chi carica gli oggetti possiede tali oggetti e il Account AWS proprietario del bucket non dispone delle autorizzazioni sugli oggetti di proprietà di un altro account, con le seguenti eccezioni:

Strumenti di gestione degli accessi

Amazon S3 offre una varietà di funzionalità e strumenti di sicurezza. Di seguito è riportato un elenco completo di queste funzionalità e strumenti. Non sono necessari tutti questi strumenti di gestione degli accessi, ma è necessario utilizzarne uno o più per concedere l'accesso alle risorse Amazon S3. La corretta applicazione di questi strumenti può contribuire a garantire che le risorse siano accessibili solo agli utenti previsti.

Lo strumento di gestione degli accessi più utilizzato è una politica di accesso. Una politica di accesso può essere una politica basata sulle risorse collegata a una AWS risorsa, ad esempio una policy bucket per un bucket. Una politica di accesso può anche essere una politica basata sull'identità associata a un'identità AWS Identity and Access Management (IAM), ad esempio un utente, un gruppo o un ruolo. IAM Scrivi una politica di accesso per concedere Account AWS a IAM utenti, gruppi e ruoli l'autorizzazione a eseguire operazioni su una risorsa. Ad esempio, puoi concedere PUT Object l'autorizzazione a un altro account Account AWS in modo che l'altro account possa caricare oggetti nel tuo bucket.

Una politica di accesso descrive chi ha accesso a quali cose. Quando Amazon S3 riceve una richiesta, deve valutare tutte le politiche di accesso per determinare se autorizzare o rifiutare la richiesta. Per ulteriori informazioni su come Amazon S3 valuta le policy, consulta In che modo Amazon S3 autorizza una richiesta.

Di seguito sono riportati gli strumenti di gestione degli accessi disponibili in Amazon S3.

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid":"BucketLevelReadPermissions",
      "Effect":"Allow",
      "Principal": {
	    "AWS": "arn:aws:iam::123456789101:role/s3-role"
      },
      "Action":["s3:GetObject"],
      "Resource":["arn:aws:s3:::amzn-s3-demo-bucket1/*"]
    }]
  }

{
  "Version": "2012-10-17",
  "Statement": [
  {
    "Sid": "AssignARoleActions",
    "Effect": "Allow",
    "Action": [
	  "s3:PutObject",
	  "s3:GetObject",
	  "s3:ListBucket",
	  "s3:DeleteObject",
	  "s3:GetBucketLocation"
    ],
    "Resource": [
	  "arn:aws:s3:::amzn-s3-demo-bucket1/*",
	  "arn:aws:s3:::amzn-s3-demo-bucket1"
    ]
    },
  {
    "Sid": "AssignARoleActions2",
    "Effect": "Allow",
    "Action": "s3:ListAllMyBuckets",
    "Resource": "*"
  }
  ]
}

<?xml version="1.0" encoding="UTF-8"?>
	<AccessControlPolicy xmlns="http://s3.amazonaws.com/doc/2006-03-01/">
		<Owner>
			<ID>Owner-Canonical-User-ID</ID>
			<DisplayName>owner-display-name</DisplayName>
		</Owner>
	<AccessControlList>
		<Grant>
			<Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="Canonical User">
				<ID>Owner-Canonical-User-ID</ID>
				<DisplayName>display-name</DisplayName>
			</Grantee>
			<Permission>FULL_CONTROL</Permission>
		</Grant>
	</AccessControlList>
</AccessControlPolicy> 		

Best practice aggiuntive

Prendi in considerazione l'utilizzo delle seguenti impostazioni e strumenti del bucket per proteggere i dati in transito e a riposo, entrambi fondamentali per mantenere l'integrità e l'accessibilità dei tuoi dati:

Azioni

Per un elenco completo delle autorizzazioni e delle chiavi di condizione S3, consulta Azioni, risorse e chiavi di condizione per Amazon S3 nel Service Authorization Reference.

Per ulteriori informazioni sulle autorizzazioni alle API operazioni S3 in base ai tipi di risorse S3, consulta. Autorizzazioni richieste per le operazioni di Amazon API S3

Azioni

Le azioni AWS Identity and Access Management (IAM) per Amazon S3 sono le azioni possibili che possono essere eseguite su un bucket o un oggetto S3. Concedi queste azioni alle identità in modo che possano agire sulle tue risorse S3. Esempi di azioni S3 sono la lettura s3:GetObject di oggetti in un bucket e s3:PutObject la scrittura di oggetti in un bucket.

Chiavi di condizione

Oltre alle azioni, le chiavi di IAM condizione si limitano a concedere l'accesso solo quando viene soddisfatta una condizione. I tasti di condizione sono opzionali.

Casi d'uso della gestione degli accessi

Amazon S3 offre ai proprietari delle risorse una varietà di strumenti per concedere l'accesso. Lo strumento di gestione degli accessi S3 che utilizzi dipende dalle risorse S3 che desideri condividere, dalle identità a cui concedi l'accesso e dalle azioni che desideri consentire o negare. Potresti voler utilizzare uno o una combinazione di strumenti di gestione degli accessi S3 per gestire l'accesso alle tue risorse S3.

Nella maggior parte dei casi, puoi utilizzare una politica di accesso per gestire le autorizzazioni. Una policy di accesso può essere una policy basata sulle risorse, collegata a una risorsa, ad esempio un bucket, o un'altra risorsa Amazon S3 (). Risorse S3 Una politica di accesso può anche essere una politica basata sull'identità, associata a un utente, gruppo o ruolo AWS Identity and Access Management (IAM) nel tuo account. Potresti scoprire che una policy bucket funziona meglio per il tuo caso d'uso. Per ulteriori informazioni, consulta Politiche Bucket per Amazon S3. In alternativa, con AWS Identity and Access Management (IAM), puoi creare IAM utenti, gruppi e ruoli all'interno del tuo account Account AWS e gestire il loro accesso a bucket e oggetti tramite politiche basate sull'identità. Per ulteriori informazioni, consulta Policy basate sull'identità per Amazon S3.

Per aiutarti a navigare tra queste opzioni di gestione degli accessi, di seguito sono riportati i casi d'uso e i consigli comuni dei clienti di Amazon S3 per ciascuno degli strumenti di gestione degli accessi S3.

Risoluzione dei problemi di gestione dell'accesso

Le seguenti risorse possono aiutarti a risolvere eventuali problemi relativi alla gestione degli accessi S3:

Risoluzione dei problemi relativi agli errori di accesso negato (403 Accesso negato)

Se riscontri problemi di negazione dell'accesso, controlla le impostazioni a livello di account e a livello di bucket. Inoltre, controlla la funzionalità di gestione degli accessi che stai utilizzando per concedere l'accesso per assicurarti che la politica, l'impostazione o la configurazione siano corrette. Per ulteriori informazioni sulle cause più comuni degli errori di accesso negato (403 Accesso negato) in Amazon S3, consulta Risolvi i problemi relativi all'accesso negato (403 Forbidden) errori in Amazon S3.

IAMAccess Analyzer per S3

Se non desideri rendere le tue risorse disponibili al pubblico o se desideri limitare l'accesso pubblico alle tue risorse, puoi utilizzare IAM Access Analyzer per S3. Sulla console Amazon S3, usa IAM Access Analyzer for S3 per esaminare tutti i bucket che dispongono di elenchi di controllo degli accessi ai bucket (ACLs), policy dei bucket o policy dei punti di accesso che garantiscono l'accesso pubblico o condiviso. IAMAccess Analyzer for S3 ti avvisa dei bucket configurati per consentire l'accesso a chiunque su Internet o altro, anche all'esterno dell'organizzazione. Account AWS Account AWS Per ogni bucket pubblico o condiviso, vengono visualizzati risultati che riportano l'origine e il livello di accesso pubblico o condiviso.

In IAM Access Analyzer for S3, puoi bloccare tutti gli accessi pubblici a un bucket con una sola azione. Ti consigliamo di bloccare tutti gli accessi pubblici ai tuoi bucket, a meno che tu non richieda l'accesso pubblico per supportare un caso d'uso specifico. Prima di bloccare tutti gli accessi pubblici, assicurati che le tue applicazioni continuino a funzionare correttamente anche senza accesso pubblico. Per ulteriori informazioni, consulta Blocco dell'accesso pubblico allo storage Amazon S3.

Puoi anche rivedere le impostazioni di autorizzazione a livello di bucket per configurare livelli di accesso dettagliati. Per casi d'uso specifici e verificati che richiedono l'accesso pubblico o condiviso, puoi confermare e registrare l'intenzione del bucket di rimanere pubblico o condiviso archiviando i risultati per il bucket. Puoi consultare e modificare le configurazioni relative al bucket in qualsiasi momento. Puoi anche scaricare i risultati come CSV rapporto a scopo di controllo.

IAMAccess Analyzer per S3 è disponibile senza costi aggiuntivi sulla console Amazon S3. IAMAccess Analyzer for S3 è basato su () Access Analyzer. AWS Identity and Access Management IAM IAM Per utilizzare IAM Access Analyzer for S3 sulla console Amazon S3, devi visitare IAM la Console e creare un analizzatore a livello di account IAM in Access Analyzer per ogni singola regione.

Per ulteriori informazioni su IAM Access Analyzer per S3, consulta. Analisi dell'accesso ai bucket utilizzando IAM Access Analyzer per S3

Registrazione di log e monitoraggio

Il monitoraggio è una parte importante per mantenere l'affidabilità, la disponibilità e le prestazioni delle soluzioni Amazon S3 in modo da poter eseguire più facilmente il debug di un errore di accesso. La registrazione può fornire informazioni sugli errori ricevuti dagli utenti e su quando e quali richieste vengono effettuate. AWS fornisce diversi strumenti per il monitoraggio delle risorse Amazon S3, come i seguenti:

Per ulteriori informazioni, consulta Registrazione e monitoraggio in Amazon S3.