Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Configuración del acceso a la red para los puntos de acceso de Amazon S3

Cuando crea un punto de acceso Amazon S3 para un volumen de FSx for ONTAP, configura cómo se puede acceder al punto de acceso a través de la red y quién está autorizado a usarlo. Esta sección le ayuda a elegir la configuración de red y control de acceso adecuada para su entorno.

En esta sección se describen las capas de autorización de la red y de IAM, en concreto, el origen de la red del punto de acceso, los puntos de acceso, las políticas de puntos de acceso, las políticas de puntos de conexión de la VPC, las políticas de identidad de IAM y las políticas de control de servicios. Para obtener información sobre la autorización a nivel del sistema de archivos (permisos de usuario de UNIX y Windows), consulte. Identidad y autorización del usuario del sistema de archivos

Cómo evalúa Amazon S3 las solicitudes de puntos de acceso

Cuando se realiza una solicitud a través de un punto de acceso Amazon S3 adjunto a un volumen de FSx for ONTAP, la solicitud debe estar autorizada por todos los niveles siguientes:

La verificación del origen de la red se realiza antes de la evaluación de la política. Las capas restantes se evalúan juntas como parte de la decisión de autorización estándar de IAM: una denegación explícita en cualquier capa anula las instrucciones Allow de las demás capas.

Elegir un origen de red

Cuando crea un punto de acceso Amazon S3, elige un origen de red que determina cómo se puede llegar al punto de acceso. No puede cambiar el origen de la red después de la creación.

Origen de Internet

Un punto de acceso con origen en una red de Internet es similar a la forma en que se accede a los buckets S3 de forma predeterminada. Todas las solicitudes siguen necesitando credenciales y autorizaciones de IAM válidas; el origen de Internet no implica el acceso público o anónimo. Amazon S3 impone el bloqueo del acceso público en todos los puntos de acceso conectados a FSx para los volúmenes de ONTAP y no puede deshabilitar esta configuración.

Al proceder de Internet, las solicitudes autenticadas pueden proceder de cualquier parte: VPC, redes locales, otras AWS cuentas o la Internet pública. Usted controla qué personas autenticadas pueden llamar mediante la política de puntos de acceso y las políticas de identidad de IAM.

Con Internet Origin, usted controla el acceso mediante la política de puntos de acceso y las políticas de identidad de IAM. En el caso de las personas que llamen desde la misma cuenta, utilice instrucciones de denegación explícitas en la política de puntos de acceso para restringir el acceso; una Allow-only política no es suficiente porque la política de identidad de IAM de la persona que llama puede conceder el acceso de forma independiente. En el caso de las personas que llaman desde varias cuentas, la política de puntos de acceso debe permitir la solicitud de forma explícita, por lo que basta con omitir una autorización para bloquear el acceso.

Origen del VPC

Un punto de acceso con un origen de red de VPC está enlazado a una VPC específica y, de hecho, se comporta como una declaración de política de denegación explícita que rechaza cualquier solicitud que aws:SourceVpc no coincida con la VPC enlazada. Como una denegación explícita siempre anula cualquier permiso, ni siquiera una política de punto de acceso o una política de identidad de IAM completamente permisivas pueden conceder acceso a solicitudes ajenas a la VPC enlazada.

Las personas que llaman fuera de la VPC vinculada pueden seguir accediendo al punto de acceso si su tráfico se enruta a través de un punto de enlace de VPC en la VPC vinculada, por ejemplo, mediante interconexión de VPC o Transit Gateway a un punto de enlace de la interfaz Amazon S3 implementado en la VPC vinculada.

Diferencias clave

Cómo funciona la aplicación de la normativa de origen de la VPC

Cuando un punto de acceso tiene un origen de red de VPC, se comporta de manera efectiva como si hubiera una declaración de política de denegación explícita que deniega todas las solicitudes cuando aws:SourceVpc no sea igual al ID de VPC especificado en el punto de acceso. VpcConfiguration Esta denegación se aplica a todos los principales, todas las acciones de Amazon S3 y todos los recursos del punto de acceso.

Como se trata de una denegación explícita, anula cualquier declaración de permiso, ya sea en la política de puntos de acceso, en la política de identidad de IAM de la persona que llama o en cualquier otra política.

En la práctica, esto significa:

Esta es también la razón por la que el mensaje de error de las solicitudes denegadas dice «denegación explícita en una política basada en recursos».

Origen de VPC frente a origen de Internet con una denegación explícita

Un punto de VPC-origin acceso y un punto de acceso originado en Internet con una Deny escrita manualmente StringNotEquals aws:SourceVpc obtienen un resultado similar: ambos deniegan solicitudes que no provienen de la VPC especificada. La diferencia clave es:

Uso de puntos de enlace de VPC con puntos de acceso de Amazon S3

Los puntos de acceso de Amazon S3 funcionan con ambos tipos de puntos de enlace de VPC para Amazon S3. El tipo de punto final que necesita depende de la ubicación de las personas que llaman.

Puntos de conexión de la puerta de enlace

Los puntos finales de las puertas de enlace son gratuitos y se basan en una tabla de rutas. Al crear un punto de enlace de puerta de enlace, se añade una ruta a las tablas de rutas especificadas que dirige el tráfico de Amazon S3 a través del punto de enlace. Esta ruta solo se aplica al tráfico que se origina en la VPC.

Utilice los puntos finales de Gateway para:

Los puntos de enlace no enrutan el tráfico que ingresa a la VPC desde:

Para obtener más información, consulte los puntos de enlace de puerta de enlace para Amazon S3 en la Guía del usuario de Amazon VPC.

Puntos de enlace de interfaz

Los puntos finales de interfaz crean una interfaz de red elástica (ENI) con una dirección IP privada en la subred. El tráfico debe dirigirse de forma explícita al nombre DNS o a la IP privada del punto final.

Utilice los puntos finales de la interfaz para:

Al utilizar un punto final de interfaz, las personas que llaman deben:

Los puntos de conexión de la interfaz tienen cargos por hora y por GB. Para más información, consulte Precios de AWS PrivateLink.

Uso conjunto de ambos tipos de terminales

Puede implementar un punto final de puerta de enlace y un punto final de interfaz en la misma VPC. Esta configuración resulta útil cuando hay llamadas tanto en la VPC como en las instalaciones:

Ambos tipos de punto final rellenan el aws:SourceVpc atributo con el ID de VPC, por lo que ambos cumplen la condición de denegación de origen de la VPC.

Políticas de punto de conexión de VPC

Las políticas de puntos de enlace de la VPC controlan a qué recursos de Amazon S3 se puede acceder a través del punto de enlace. De forma predeterminada, un punto de enlace de VPC permite todas las acciones de Amazon S3 en todos los recursos. Puede ajustar la política de puntos finales para permitir solo puntos de acceso específicos:

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point",
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point/object/*"
            ]
        }
    ]
}

Políticas de puntos de acceso

Los puntos de acceso Amazon S3 admiten políticas de recursos AWS Identity and Access Management (IAM) que le permiten controlar el uso del punto de acceso por recurso, usuario u otras condiciones. Para el acceso entre cuentas, tanto la política de puntos de acceso como la política de identidad de IAM de la persona que llama deben permitir la solicitud. Para el acceso desde la misma cuenta, la política de puntos de acceso o la política de identidad de IAM de la persona que llama pueden conceder el acceso de forma independiente. Para restringir las llamadas desde la misma cuenta, utilice instrucciones de denegación explícitas en la política del punto de acceso. Si la solicitud atraviesa un punto final de la VPC, la política de punto final de la VPC también debe permitir la solicitud.

Para obtener más información sobre las políticas de puntos de acceso, consulte Configuración de políticas de IAM para el uso de puntos de acceso en la Guía del usuario de Amazon Simple Storage Service.

Claves de condición para el control de acceso basado en la red

IAM proporciona claves de condición globales que puede usar en las políticas de puntos de acceso para controlar el acceso en función de las propiedades de red de la solicitud. Estas claves de condición se incluyen en el contexto de la solicitud solo en circunstancias específicas, como se describe en la siguiente tabla.

Para obtener más información sobre las claves de condición globales de IAM, consulte las claves de contexto de condición AWS globales en la Guía del usuario de IAM.

Ejemplos de escenarios de

Los siguientes escenarios de ejemplo muestran configuraciones comunes para los puntos de acceso de Amazon S3 conectados a FSx para los volúmenes de ONTAP. Cada escenario incluye el origen de la red recomendado, el tipo de punto de enlace de la VPC y la política de punto de acceso.

Acceso a una sola VPC

Caso de uso: las instancias de Amazon EC2, las funciones de Lambda o las tareas de Amazon ECS dentro de una sola VPC acceden al punto de acceso. No se necesita acceso externo.

Con origen de red de VPC:

La configuración de origen de la VPC deniega de manera efectiva las solicitudes aws:SourceVpc que no coinciden con la VPC enlazada. Se deniegan las solicitudes de otras VPC, de Internet o de redes locales. Puede utilizar un punto de conexión de VPC Gateway o Interface Amazon S3.

Ejemplo de política de punto de acceso (origen de VPC): con el origen de VPC, la restricción de red está integrada. La política de puntos de acceso solo necesita conceder los permisos deseados.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {"AWS": "arn:aws:iam::123456789012:role/my-app-role"},
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point",
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point/object/*"
            ]
        }
    ]
}

Con origen en la red de Internet:

Con Internet Origin, se restringe el acceso a la VPC mediante aws:SourceVpc las condiciones de la política de puntos de acceso (con una denegación explícita). Se requiere un punto de enlace de VPC para que aws:SourceVpc se rellene en la solicitud.

Ejemplo de política de punto de acceso (origen de Internet): la política incluye una condición de Permitir con una VPC y una denegación para las solicitudes que no provienen de la VPC.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {"AWS": "arn:aws:iam::123456789012:role/my-app-role"},
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point",
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point/object/*"
            ],
            "Condition": {
                "StringEquals": {"aws:SourceVpc": "vpc-1a2b3c4d"}
            }
        },
        {
            "Effect": "Deny",
            "Principal": "*",
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point",
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point/object/*"
            ],
            "Condition": {
                "StringNotEquals": {"aws:SourceVpc": "vpc-1a2b3c4d"}
            }
        }
    ]
}

On-premises y acceso a VPC

Caso de uso: tanto los usuarios locales (mediante VPN o Direct Connect) como los recursos informáticos de la VPC acceden al punto de acceso. Todo el tráfico permanece privado.

Tanto el punto final de la puerta de enlace (tráfico dentro de la VPC) como el punto final de la interfaz (tráfico local) están en la misma VPC, por lo que ambos cumplen la condición de denegación de origen de la VPC.

Multi-VPC acceso

Caso de uso: las personas que llaman desde varias VPC deben acceder al mismo punto de acceso. Por ejemplo, aplicaciones en VPC independientes dentro de la misma cuenta o VPC en cuentas diferentes que se conectan mediante el emparejamiento de VPC o Transit Gateway.

Existen dos enfoques para el acceso a varias VPC, dependiendo de si desea utilizar controles basados en políticas o la aplicación de la red de origen de la VPC.

Opción 1: origen de Internet con un punto final de puerta de enlace en cada VPC

Cada VPC tiene su propio punto de enlace Amazon S3 Gateway. Las personas que llaman en cada VPC acceden al punto de acceso a través de su punto de enlace de puerta de enlace local, que se aws:SourceVpc completa con la solicitud. La política de puntos de acceso restringe el acceso a los ID de VPC permitidos.

Esta opción es más sencilla de configurar, ya que cada VPC funciona de forma independiente, sin necesidad de interconexión de VPC ni de Transit Gateway. Para añadir o eliminar VPC, actualice la política de puntos de acceso.

Opción 2: origen de VPC con un punto final de interfaz centralizado

Una VPC aloja un punto final de la interfaz Amazon S3 y el punto de acceso se crea con el origen de la VPC enlazado a esa VPC. Otras VPC enrutan su tráfico de Amazon S3 al punto final de la interfaz mediante el emparejamiento de VPC o Transit Gateway. Como todas las solicitudes llegan a través de un punto final de la VPC enlazada, cumplen con la normativa de origen de la VPC.

Esta opción proporciona una aplicación más estricta porque la restricción de origen de la VPC no se puede eludir mediante cambios en la política. Sin embargo, requiere interconexión de VPC o conectividad con Transit Gateway, y el punto final de la interfaz tiene cargos por hora y por GB. Para obtener más información sobre los puntos de enlace de la interfaz, consulte AWS PrivateLinkAmazon S3 en la Guía del usuario de Amazon Simple Storage Service.

Solución de problemas de acceso a la red

Cuando se produce un error en una solicitud de punto de acceso de Amazon S3, el mensaje de error no suele indicar qué capa de autorización denegó la solicitud. Utilice la siguiente guía para diagnosticar problemas comunes.

AccessDenied con la expresión «negación explícita en una política basada en los recursos»

Este error puede provenir de varias fuentes. Realice las siguientes comprobaciones en orden:

1. Compruebe el origen de la VPC Denegar (solo puntos de VPC-origin acceso)

Si el punto de acceso tiene un origen de red de VPC, deniega de forma efectiva las solicitudes que aws:SourceVpc no coinciden con la VPC enlazada. Verifique lo siguiente:

2. Compruebe la política de puntos finales de la VPC

Si la solicitud atraviesa un punto final de la VPC, la política del punto final debe permitir la acción en el recurso del punto de acceso. La política de puntos finales predeterminada permite realizar todas las acciones en todos los recursos. Si ha definido el alcance de la política, compruebe que incluye el ARN del punto de acceso.

3. Consulte la política de puntos de acceso

Compruebe que la política del punto de acceso lo permita al principal solicitante. Compruebe si hay declaraciones de rechazo con condiciones que puedan coincidir con las de la solicitud.

4. Consulte la política de identidad de IAM de la persona que llama

El usuario o rol de IAM de la persona que llama debe tener permisos para realizar la acción de Amazon S3 en el ARN del punto de acceso.

5. Compruebe las políticas de control de servicios (SCP)

Si la cuenta forma parte de una organización de AWS Organizations, compruebe que ningún SCP deniegue las acciones de Amazon S3 en el punto de acceso.

On-premises las personas que llaman reciben, AccessDenied pero las que llaman desde VPC tienen éxito

Por lo general, esto significa que el tráfico local no se enruta a través de un punto final de VPC:

Las condiciones de la política de puntos de acceso parecen no surtir efecto