Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Configurazione dell'accesso alla rete per i punti di accesso Amazon S3

Quando si crea un punto di accesso Amazon S3 per un volume FSx for ONTAP, si configura in che modo l'access point può essere raggiunto sulla rete e chi è autorizzato a utilizzarlo. Questa sezione ti aiuta a scegliere la giusta configurazione di rete e controllo degli accessi per il tuo ambiente.

Questa sezione tratta i livelli di autorizzazione della rete e IAM, in particolare l'origine della rete del punto di accesso, gli endpoint VPC, le politiche degli access point, le politiche degli endpoint VPC, le politiche di identità IAM e le politiche di controllo dei servizi. Per informazioni sull'autorizzazione a livello di file system (autorizzazioni utente UNIX e Windows), vedere. Identità e autorizzazione dell'utente del file system

In che modo Amazon S3 valuta le richieste di access point

Quando una richiesta viene effettuata tramite un punto di accesso Amazon S3 collegato a un volume FSx for ONTAP, la richiesta deve essere autorizzata da tutti i seguenti livelli:

Il controllo dell'origine della rete avviene prima della valutazione delle politiche. I livelli rimanenti vengono valutati insieme come parte della decisione di autorizzazione IAM standard: un Deny esplicito in qualsiasi livello sostituisce le istruzioni Allow negli altri livelli.

Scelta dell'origine della rete

Quando crei un punto di accesso Amazon S3, scegli un'origine di rete che determina come raggiungere il punto di accesso. Non è possibile modificare l'origine della rete dopo la creazione.

Origine Internet

Un punto di accesso con origine da una rete Internet è simile al modo in cui si accede ai bucket S3 per impostazione predefinita. Tutte le richieste richiedono ancora credenziali e autorizzazioni IAM valide: l'origine da Internet non significa accesso pubblico o anonimo. Amazon S3 applica il blocco dell'accesso pubblico su tutti i punti di accesso collegati ai volumi FSx per ONTAP e non è possibile disabilitare questa impostazione.

Con Internet origin, le richieste autenticate possono provenire da qualsiasi luogo: VPC, reti locali, altri AWS account o Internet pubblico. Puoi controllare quali chiamanti autenticati sono autorizzati utilizzando la policy del punto di accesso e le politiche di identità IAM.

Con Internet origin, controlli l'accesso utilizzando la policy del punto di accesso e le politiche di identità IAM. Per chi chiama con lo stesso account, utilizza dichiarazioni Deny esplicite nella policy del punto di accesso per limitare l'accesso: una policy non è sufficiente perché la Allow-only politica di identità IAM del chiamante può concedere l'accesso in modo indipendente. Per i chiamanti con più account, la politica del punto di accesso deve consentire esplicitamente la richiesta, quindi omettere un Consenti è sufficiente per bloccare l'accesso.

Origine VPC

Un punto di accesso con origine di rete VPC è associato a un VPC specifico e si comporta effettivamente come un'esplicita dichiarazione di politica Deny che rifiuta qualsiasi richiesta che non corrisponde al VPC associato. aws:SourceVpc Poiché un Deny esplicito prevale sempre su qualsiasi Allow, anche una policy sull'access point completamente permissiva o una policy di identità IAM non possono concedere l'accesso alle richieste dall'esterno del VPC associato.

I chiamanti esterni al VPC associato possono comunque accedere al punto di accesso se il loro traffico viene indirizzato attraverso un endpoint VPC nel VPC associato, ad esempio tramite peering VPC o Transit Gateway verso un endpoint di interfaccia Amazon S3 distribuito nel VPC associato.

Differenze principali

Come funziona l'applicazione dell'origine del VPC

Quando un punto di accesso ha un'origine di rete VPC, si comporta effettivamente come se ci fosse una dichiarazione esplicita della politica Deny che nega tutte le richieste che aws:SourceVpc non sono uguali all'ID VPC specificato nell'access point. VpcConfiguration Questo Deny si applica a tutti i principali, a tutte le azioni di Amazon S3 e a tutte le risorse all'interno dell'access point.

Poiché si tratta di un Deny esplicito, sovrascrive qualsiasi istruzione Allow, sia nella policy del punto di accesso, nella politica di identità IAM del chiamante o in qualsiasi altra politica.

In pratica, ciò significa:

Questo è anche il motivo per cui il messaggio di errore relativo alle richieste respinte indica «rifiuto esplicito in una politica basata sulle risorse».

Origine VPC e origine Internet con un Deny esplicito

Un VPC-origin access point e un access point di origine Internet con un StringNotEquals aws:SourceVpc Deny scritto manualmente ottengono un risultato simile: entrambi rifiutano richieste non provenienti dal VPC specificato. La differenza fondamentale è:

Utilizzo di endpoint VPC con punti di accesso Amazon S3

I punti di accesso Amazon S3 funzionano con entrambi i tipi di endpoint VPC per Amazon S3. Il tipo di endpoint di cui hai bisogno dipende da dove si trovano i chiamanti.

Endpoint gateway

Gli endpoint del gateway sono gratuiti e basati su tabelle di routing. Quando si crea un endpoint Gateway, viene aggiunto un percorso alle tabelle di route specificate che indirizza il traffico di Amazon S3 attraverso l'endpoint. Questo percorso si applica solo al traffico proveniente dal VPC.

Usa gli endpoint Gateway per:

Gli endpoint del gateway non indirizzano il traffico che entra nel VPC da:

Per ulteriori informazioni, consulta Gateway endpoint per Amazon S3 nella Amazon VPC User Guide.

Endpoint di interfaccia

Gli endpoint di interfaccia creano un'interfaccia di rete elastica (ENI) con un indirizzo IP privato nella sottorete. Il traffico deve essere indirizzato esplicitamente al nome DNS o all'IP privato dell'endpoint.

Usa gli endpoint dell'interfaccia per:

Quando si utilizza un endpoint di interfaccia, i chiamanti devono:

Gli endpoint di interfaccia prevedono costi orari e per GB. Per ulteriori informazioni, consultare Prezzi di AWS PrivateLink.

Utilizzo congiunto di entrambi i tipi di endpoint

È possibile distribuire sia un endpoint Gateway che un endpoint di interfaccia nello stesso VPC. Questa configurazione è utile quando hai sia chiamanti interni al VPC che chiamanti locali:

Entrambi i tipi di endpoint popolano l'aws:SourceVpcattributo con l'ID VPC, quindi entrambi soddisfano la condizione VPC origin Deny.

Policy di endpoint VPC

Le policy degli endpoint VPC controllano a quali risorse Amazon S3 è possibile accedere tramite l'endpoint. Per impostazione predefinita, un endpoint VPC consente tutte le azioni di Amazon S3 su tutte le risorse. Puoi definire la policy degli endpoint in modo da consentire solo punti di accesso specifici:

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point",
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point/object/*"
            ]
        }
    ]
}

Policy del punto di accesso

I punti di accesso di Amazon S3 supportano politiche sulle risorse AWS Identity and Access Management (IAM) che consentono di controllare l'uso del punto di accesso per risorsa, utente o altre condizioni. Per l'accesso tra più account, sia la politica del punto di accesso che la politica di identità IAM del chiamante devono consentire la richiesta. Per l'accesso con lo stesso account, la policy del punto di accesso o la politica di identità IAM del chiamante possono concedere l'accesso in modo indipendente: per limitare i chiamanti con lo stesso account, utilizza dichiarazioni Deny esplicite nella politica del punto di accesso. Se la richiesta attraversa un endpoint VPC, anche la policy sugli endpoint VPC deve consentire la richiesta.

Per ulteriori informazioni sulle politiche degli access point, consulta Configurazione delle politiche IAM per l'utilizzo degli access point nella Amazon Simple Storage Service User Guide.

Chiavi condizionali per il controllo degli accessi basato sulla rete

IAM fornisce chiavi di condizione globali che è possibile utilizzare nelle policy dei punti di accesso per controllare l'accesso in base alle proprietà di rete della richiesta. Queste chiavi di condizione sono incluse nel contesto della richiesta solo in circostanze specifiche, come descritto nella tabella seguente.

Per ulteriori informazioni sulle chiavi di condizione globali IAM, consulta le chiavi di contesto delle condizioni AWS globali nella Guida per l'utente IAM.

Scenari di esempio

I seguenti scenari di esempio mostrano le configurazioni comuni per i punti di accesso Amazon S3 collegati ai volumi FSx for ONTAP. Ogni scenario include l'origine della rete consigliata, il tipo di endpoint VPC e la policy del punto di accesso.

Accesso singolo a VPC

Caso d'uso: istanze Amazon EC2, funzioni Lambda o attività Amazon ECS all'interno di un singolo VPC accedono al punto di accesso. Non è necessario alcun accesso esterno.

Con origine di rete VPC:

La configurazione di origine del VPC nega efficacemente le richieste che aws:SourceVpc non corrispondono al VPC associato. Le richieste provenienti da altri VPC, da Internet o da reti locali vengono rifiutate. Puoi utilizzare un endpoint Amazon S3 VPC Gateway o Interface.

Esempio di policy sui punti di accesso (origine VPC): con l'origine VPC, la restrizione di rete è integrata. La politica del punto di accesso deve solo concedere le autorizzazioni desiderate.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {"AWS": "arn:aws:iam::123456789012:role/my-app-role"},
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point",
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point/object/*"
            ]
        }
    ]
}

Con origine da una rete Internet:

Con l'origine da Internet, si limita l'accesso al VPC utilizzando aws:SourceVpc le condizioni indicate nella politica del punto di accesso (con un esplicito rifiuto). È necessario un endpoint VPC in modo che aws:SourceVpc venga compilato sulla richiesta.

Esempio di policy per i punti di accesso (origine Internet): la policy include sia una condizione Consenti con un VPC che una Nega per le richieste non provenienti dal VPC.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {"AWS": "arn:aws:iam::123456789012:role/my-app-role"},
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point",
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point/object/*"
            ],
            "Condition": {
                "StringEquals": {"aws:SourceVpc": "vpc-1a2b3c4d"}
            }
        },
        {
            "Effect": "Deny",
            "Principal": "*",
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point",
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point/object/*"
            ],
            "Condition": {
                "StringNotEquals": {"aws:SourceVpc": "vpc-1a2b3c4d"}
            }
        }
    ]
}

On-premises e accesso VPC

Caso d'uso: sia gli utenti locali (tramite VPN o Direct Connect) che le risorse di elaborazione in VPC accedono al punto di accesso. Tutto il traffico rimane privato.

Sia l'endpoint Gateway (traffico in-VPC) che l'endpoint Interface (traffico locale) si trovano nello stesso VPC, quindi entrambi soddisfano la condizione VPC origin Deny.

Multi-VPC accesso

Caso d'uso: i chiamanti in più VPC devono accedere allo stesso punto di accesso. Ad esempio, applicazioni in VPC separati all'interno dello stesso account o VPC in account diversi collegati tramite peering VPC o Transit Gateway.

Esistono due approcci per l'accesso multi-VPC, a seconda che si desideri utilizzare controlli basati su policy o l'applicazione della rete di origine VPC.

Opzione 1: origine da Internet con un endpoint Gateway in ogni VPC

Ogni VPC ha il proprio endpoint Amazon S3 Gateway. I chiamanti in ogni VPC accedono al punto di accesso tramite l'endpoint Gateway locale, che viene compilato sulla richiesta. aws:SourceVpc La policy del punto di accesso limita l'accesso agli ID VPC consentiti.

Questa opzione è più semplice da configurare perché ogni VPC funziona in modo indipendente: non è richiesto alcun peering VPC o Transit Gateway. Per aggiungere o rimuovere i VPC, aggiorna la policy del punto di accesso.

Opzione 2: origine del VPC con un endpoint di interfaccia centralizzato

Un VPC ospita un endpoint di interfaccia Amazon S3 e il punto di accesso viene creato con l'origine VPC associata a quel VPC. Altri VPC indirizzano il traffico Amazon S3 all'endpoint dell'interfaccia tramite peering VPC o Transit Gateway. Poiché tutte le richieste arrivano attraverso un endpoint nel VPC associato, soddisfano l'applicazione dell'origine del VPC.

Questa opzione fornisce un'applicazione più rigorosa perché la restrizione sull'origine del VPC non può essere aggirata modificando le policy. Tuttavia, richiede il peering VPC o la connettività Transit Gateway e l'endpoint di interfaccia ha costi orari e per GB. Per ulteriori informazioni sugli endpoint di interfaccia, consulta Amazon S3 nella Amazon Simple AWS PrivateLink Storage Service User Guide.

Risoluzione dei problemi di accesso alla rete

Quando una richiesta di access point Amazon S3 fallisce, il messaggio di errore spesso non indica quale livello di autorizzazione ha rifiutato la richiesta. Utilizza le seguenti linee guida per diagnosticare i problemi più comuni.

AccessDenied con «rifiuto esplicito in una politica basata sulle risorse»

Questo errore può provenire da più fonti. Esegui i seguenti controlli nell'ordine:

1. Controlla l'origine del VPC Deny (solo punti di VPC-origin accesso)

Se il punto di accesso ha un'origine di rete VPC, di fatto nega le richieste che aws:SourceVpc non corrispondono al VPC associato. Verificare che:

2. Controlla la politica degli endpoint VPC

Se la richiesta attraversa un endpoint VPC, la politica dell'endpoint deve consentire l'azione sulla risorsa del punto di accesso. La policy predefinita degli endpoint consente tutte le azioni su tutte le risorse. Se hai definito l'ambito della policy, verifica che includa l'ARN del punto di accesso.

3. Controlla la politica del punto di accesso

Verifica che la politica del punto di accesso lo consenta al principale richiedente. Verifica la presenza di dichiarazioni di rifiuto con condizioni che potrebbero corrispondere alla richiesta.

4. Controlla la politica di identità IAM del chiamante

Il ruolo o l'utente IAM del chiamante deve disporre delle autorizzazioni per eseguire l'azione Amazon S3 sull'ARN del punto di accesso.

5. Verifica le politiche di controllo dei servizi (SCP)

Se l'account fa parte di un' AWS organizzazione, verifica che nessun SCP neghi le azioni di Amazon S3 sull'access point.

On-premises i chiamanti ottengono AccessDenied , ma i chiamanti in VPC hanno successo

Ciò significa in genere che il traffico locale non viene indirizzato attraverso un endpoint VPC:

Le condizioni delle policy relative ai punti di accesso sembrano non avere alcun effetto