Endpoint gateway per Amazon S3

Puoi accedere ad Amazon S3 dai tuoi endpoint VPC gatewayVPC. Dopo aver creato l'endpoint gateway, puoi aggiungerlo come destinazione nella tabella di routing per il traffico destinato dal tuo VPC ad Amazon S3.

L'utilizzo di endpoint gateway non comporta costi supplementari.

Amazon S3 supporta sia gli endpoint gateway che gli endpoint di interfaccia. Con un endpoint gateway, puoi accedere ad Amazon S3 dal VPC tuo dispositivo, senza richiedere un gateway NAT o un dispositivo Internet e senza costi aggiuntivi. VPC Tuttavia, gli endpoint gateway non consentono l'accesso da reti locali, da reti peer-to-peer VPCs in altre AWS regioni o tramite un gateway di transito. Per questi casi, è necessario utilizzare un endpoint di interfaccia, disponibile a un costo aggiuntivo. Per ulteriori informazioni, consulta Tipi di VPC endpoint per Amazon S3 nella Guida per l'utente di Amazon S3.

Considerazioni

Privato DNS

Puoi configurare private DNS per ottimizzare i costi quando crei sia un endpoint gateway che un endpoint di interfaccia per Amazon S3.

Route 53 Resolver

Amazon fornisce un DNS server, chiamato Route 53 Resolver, per te. VPC Il Route 53 Resolver risolve automaticamente i nomi di VPC dominio e i record locali in zone ospitate private. Tuttavia, non puoi utilizzare il Route 53 Resolver dall'esterno del tuo. VPC Route 53 fornisce endpoint Resolver e regole Resolver che consentono di utilizzare il Route 53 Resolver dall'esterno. VPC Un endpoint Resolver in ingresso inoltra le query dalla rete locale al Route 53 Resolver. DNS Un endpoint Resolver in uscita inoltra le query dal Route 53 Resolver alla rete locale. DNS

Quando configuri il tuo endpoint di interfaccia per Amazon S3 per l'uso DNS privato solo per l'endpoint Resolver in ingresso, creiamo un endpoint Resolver in ingresso. L'endpoint Resolver in ingresso risolve le query su Amazon S3 dagli indirizzi IP locali DNS agli indirizzi IP privati dell'endpoint di interfaccia. Aggiungiamo inoltre ALIAS i record per il Route 53 Resolver alla zona ospitata pubblica per Amazon S3, in modo DNS che le query dal VPC tuo Resolver vengano inviate agli indirizzi IP pubblici di Amazon S3, che indirizzano il traffico verso l'endpoint del gateway.

Privato DNS

Se configuri la modalità privata DNS per l'endpoint di interfaccia per Amazon S3 ma non la configurazione DNS privata solo per l'endpoint Resolver in entrata, le richieste provenienti sia dalla tua rete locale che dal tuo endpoint di interfaccia utilizzano l'endpoint di interfaccia per accedere ad Amazon S3. VPC Pertanto, paghi per utilizzare l'endpoint di interfaccia per il traffico proveniente daVPC, anziché utilizzare l'endpoint gateway senza costi aggiuntivi.

Privato DNS solo per l'endpoint Resolver in entrata

Se configuri la modalità privata DNS solo per l'endpoint Resolver in entrata, le richieste provenienti dalla rete locale utilizzano l'endpoint di interfaccia per accedere ad Amazon S3 e le richieste provenienti dal VPC tuo endpoint utilizzano l'endpoint gateway per accedere ad Amazon S3. Pertanto, ottimizzi i costi, perché paghi per utilizzare l'endpoint dell'interfaccia solo per il traffico che non può utilizzare l'endpoint del gateway.

Configura privato DNS

Puoi configurare private DNS per un endpoint di interfaccia per Amazon S3 al momento della creazione o dopo la creazione. Per ulteriori informazioni, vedere Creazione di un endpoint VPC (configurazione durante la creazione) o Abilitazione dei nomi DNS privati (configurazione dopo la creazione).

Crea un endpoint gateway

Utilizza la procedura seguente per creare un endpoint gateway che si connette ad Amazon S3.

Controllo dell'accesso tramite le policy di bucket

È possibile utilizzare le policy dei bucket per controllare l'accesso ai bucket da endpoint specificiVPCs, intervalli di indirizzi IP e. Account AWS Questi esempi presuppongono che vi siano anche dichiarazioni di policy che consentono l'accesso richiesto per i casi d'uso.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow-access-to-specific-VPCE",
      "Effect": "Deny",
      "Principal": "*",
      "Action": ["s3:PutObject", "s3:GetObject", "s3:DeleteObject"],
      "Resource": ["arn:aws:s3:::bucket_name",
                   "arn:aws:s3:::bucket_name/*"],
      "Condition": {
        "StringNotEquals": {
          "aws:sourceVpce": "vpce-1a2b3c4d"
        }
      }
    }
  ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow-access-to-specific-VPC",
      "Effect": "Deny",
      "Principal": "*",
      "Action": ["s3:PutObject", "s3:GetObject", "s3:DeleteObject"],
      "Resource": ["arn:aws:s3:::example_bucket",
                   "arn:aws:s3:::example_bucket/*"],
      "Condition": {
        "StringNotEquals": {
          "aws:sourceVpc": "vpc-111bbb22"
        }
      }
    }
  ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow-access-to-specific-VPC-CIDR",
      "Effect": "Deny",
      "Principal": "*",
      "Action": ["s3:PutObject", "s3:GetObject", "s3:DeleteObject"],
      "Resource": ["arn:aws:s3:::bucket_name",
                   "arn:aws:s3:::bucket_name/*"],
      "Condition": {
        "NotIpAddress": {
          "aws:VpcSourceIp": "172.31.0.0/16"
        }
      }
    }
  ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow-access-to-bucket-in-specific-account",
      "Effect": "Deny",
      "Principal": "*",
      "Action": ["s3:GetObject", "s3:PutObject", "s3:DeleteObject"],
      "Resource": "arn:aws:s3:::*",
      "Condition": {
        "StringNotEquals": {
          "s3:ResourceAccount": "111122223333"
        }
      }
    }
  ]
}

Associazione delle tabelle di instradamento

Puoi modificare le tabelle di instradamento associate all'endpoint gateway. Quando associ una tabella di instradamento, viene aggiunta automaticamente una route che indirizza il traffico destinato per il servizio all'interfaccia di rete dell'endpoint. Quando dissoci una tabella di instradamento, la route dell'endpoint viene rimossa automaticamente.

Modifica la politica degli VPC endpoint

Puoi modificare la policy degli endpoint per un endpoint gateway, che controlla l'accesso ad Amazon S3 dall'endpoint VPC all'altro. La policy predefinita consente l'accesso completo. Per ulteriori informazioni, consulta Policy di endpoint.

Di seguito sono riportati esempi di policy dell'endpoint per accedere ad Amazon S3.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow-access-to-specific-bucket",
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
         "s3:ListBucket",
         "s3:GetObject",
         "s3:PutObject"
      ],
      "Resource": [
        "arn:aws:s3:::bucket_name",
        "arn:aws:s3:::bucket_name/*"
      ]
    }
  ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow-access-to-specific-IAM-role",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "ArnEquals": {
          "aws:PrincipalArn": "arn:aws:iam::111122223333:role/role_name"
        }
      }
    }
  ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow-callers-from-specific-account",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalAccount": "111122223333"
        }
      }
    }
  ]
}

Eliminazione di un endpoint gateway

Quando un endpoint gateway non è più necessario, è possibile eliminarlo. L'eliminazione di un endpoint gateway comporta la rimozione della route dell'endpoint dalle tabelle di instradamento della sottorete.

Non è possibile eliminare un endpoint gateway se l'opzione private DNS è abilitata.