(Beispiel) Beschränken des Datenzugriffs auf Ihre Amazon-S3-Daten mit VPC - Amazon Bedrock
Erstellen eines Amazon S3 VPC-Endpunkts(Optional) Verwenden Sie IAM-Richtlinien, um den Zugriff auf Ihre S3-Dateien einzuschränken

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

(Beispiel) Beschränken des Datenzugriffs auf Ihre Amazon-S3-Daten mit VPC

Sie können den Zugriff auf Daten in Ihren Amazon-S3-Buckets mit einer VPC einschränken. Zur weiteren Sicherheit können Sie Ihre VPC ohne Internetzugang konfigurieren und mit AWS PrivateLink einen Endpunkt für sie erstellen. Sie können den Zugriff auch einschränken, indem Sie ressourcenbasierte Richtlinien an den VPC-Endpunkt oder den S3-Bucket anfügen.

Erstellen eines Amazon S3 VPC-Endpunkts

Wenn Sie Ihre VPC ohne Internetzugang konfigurieren, müssen Sie einen Amazon-S3-VPC-Endpunkt erstellen, damit Ihre Modellanpassungsaufträge auf die S3-Buckets zugreifen können, in denen Ihre Trainings- und Validierungsdaten gespeichert sind und die Modellartefakte gespeichert werden.

Erstellen Sie den S3-VPC-Endpunkt, indem Sie die Schritte unter Erstellen eines Gateway-Endpunkts für Amazon S3 ausführen.

Anmerkung

Wenn Sie nicht die Standard-DNS-Einstellungen für Ihre VPC verwenden, müssen Sie sicherstellen, dass die Speicherorte der URLs Daten in Ihren Trainingsjobs aufgelöst werden, indem Sie die Endpunkt-Routing-Tabellen konfigurieren. Weitere Informationen zu den Routing-Tabellen der VPC-Endpunkte finden Sie unter Routing für Gateway-Endpunkte.

(Optional) Verwenden Sie IAM-Richtlinien, um den Zugriff auf Ihre S3-Dateien einzuschränken

Der Zugriff auf Ihre S3-Dateien lässt sich mit ressourcenbasierten Richtlinien steuern. Sie können eine beliebige Kombination der folgenden Typen von ressourcenbasierten Richtlinien verwenden.

  • Endpunktrichtlinien – Sie können Endpunktrichtlinien an Ihren VPC-Endpunkt anfügen, um den Zugriff über den VPC-Endpunkt einzuschränken. Standardmäßig wird über die Endpunktrichtlinie allen Benutzern oder Services in Ihrer VPC Vollzugriff auf Amazon S3 gewährt. Bei oder nach der Erstellung des Endpunkts können Sie optional eine ressourcenbasierte Richtlinie an den Endpunkt anfügen, um Einschränkungen hinzuzufügen, z. B. dem Endpunkt nur den Zugriff auf einen bestimmten Bucket oder nur einer bestimmten IAM-Rolle den Zugriff auf den Endpunkt zu gestatten. Beispiele finden Sie unter Bearbeiten der VPC-Endpunktrichtlinie.

    Im Folgenden finden Sie eine Beispielrichtlinie, die Sie an Ihren VPC-Endpunkt anfügen können, sodass er auf den von Ihnen angegebenen Bucket zugreifen kann.

    JSON
    {
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "RestrictAccessToTrainingBucket",
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "s3:GetObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::bucket",
                "arn:aws:s3:::bucket/*"
            ]
        }
    ]
}

  • Bucket-Richtlinien – Sie können eine Bucket-Richtlinie an einen S3-Bucket anfügen, um den Zugriff darauf einzuschränken. Um eine Bucket-Richtlinie zu erstellen, folgen Sie den Schritten unter Verwenden von Bucket-Richtlinien. Um den Zugriff auf den Datenverkehr zu beschränken, der von Ihrer VPC stammt, können Sie Bedingungsschlüssel verwenden, um die VPC selbst, einen VPC-Endpunkt oder die IP-Adresse der VPC anzugeben. Sie können die Bedingungsschlüssel aws:sourceVPC, aws:sourceVpce oder aws: verwenden. VpcSourceIp

    Im Folgenden finden Sie eine Beispielrichtlinie, die Sie an einen S3-Bucket anhängen können, um den gesamten Datenverkehr zum Bucket zu verweigern, sofern er nicht von Ihrer VPC stammt.

    JSON
    {
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "RestrictAccessToOutputBucket",
            "Effect": "Deny",
            "Principal": "*",
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::bucket",
                "arn:aws:s3:::bucket/*"
            ],
            "Condition": {
                "StringNotEquals": {
                    "aws:sourceVpc": "vpc-11223344556677889"
                }
            }
        }
    ]
}

    Weitere Beispiele finden Sie unter Zugriffskontrolle mithilfe von Bucket-Richtlinien.