Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Mengkonfigurasi akses jaringan untuk jalur akses Amazon S3

Saat Anda membuat jalur akses Amazon S3 untuk FSx untuk volume ONTAP, Anda mengonfigurasi bagaimana titik akses dapat dicapai melalui jaringan dan siapa yang berwenang untuk menggunakannya. Bagian ini membantu Anda memilih konfigurasi jaringan dan kontrol akses yang tepat untuk lingkungan Anda.

Bagian ini mencakup lapisan otorisasi jaringan dan IAM — khususnya, asal jaringan titik akses, titik akhir VPC, kebijakan titik akses, kebijakan titik akhir VPC, kebijakan identitas IAM, dan kebijakan kontrol layanan. Untuk informasi tentang otorisasi tingkat sistem file (izin pengguna UNIX dan Windows), lihat. Identitas dan otorisasi pengguna sistem file

Bagaimana Amazon S3 mengevaluasi permintaan titik akses

Ketika permintaan dibuat melalui jalur akses Amazon S3 yang dilampirkan ke fsX untuk volume ONTAP, permintaan harus diotorisasi oleh semua lapisan berikut:

Pemeriksaan asal jaringan terjadi sebelum evaluasi kebijakan. Lapisan yang tersisa dievaluasi bersama sebagai bagian dari keputusan otorisasi IAM standar - Penolakan eksplisit di lapisan apa pun mengesampingkan pernyataan Izinkan di lapisan lain.

Memilih asal jaringan

Saat Anda membuat jalur akses Amazon S3, Anda memilih asal jaringan yang menentukan bagaimana titik akses dapat dicapai. Anda tidak dapat mengubah asal jaringan setelah pembuatan.

Asal internet

Titik akses dengan asal jaringan internet mirip dengan bagaimana bucket S3 diakses secara default. Semua permintaan masih memerlukan kredensyal dan otorisasi IAM yang valid - asal internet tidak berarti akses publik atau anonim. Amazon S3 memberlakukan Blokir Akses Publik pada semua titik akses yang dilampirkan ke FSx untuk volume ONTAP, dan Anda tidak dapat menonaktifkan pengaturan ini.

Dengan asal internet, permintaan yang diautentikasi dapat datang dari mana saja — VPC, jaringan lokal, AWS akun lain, atau internet publik. Anda mengontrol penelepon yang diautentikasi yang diizinkan menggunakan kebijakan jalur akses dan kebijakan identitas IAM.

Dengan internet origin, Anda mengontrol akses menggunakan kebijakan jalur akses dan kebijakan identitas IAM. Untuk penelepon akun yang sama, gunakan pernyataan Deny eksplisit dalam kebijakan jalur akses untuk membatasi akses — kebijakan tidak cukup karena Allow-only kebijakan identitas IAM pemanggil dapat secara independen memberikan akses. Untuk penelepon lintas akun, kebijakan jalur akses harus secara eksplisit Izinkan permintaan, sehingga menghilangkan Izinkan sudah cukup untuk memblokir akses.

Asal VPC

Titik akses dengan asal jaringan VPC terikat ke VPC tertentu dan secara efektif berperilaku sebagai pernyataan kebijakan Tolak eksplisit yang menolak permintaan apa pun yang tidak aws:SourceVpc cocok dengan VPC terikat. Karena Deny eksplisit selalu mengganti Izinkan apa pun, bahkan kebijakan jalur akses yang sepenuhnya permisif atau kebijakan identitas IAM tidak dapat memberikan akses ke permintaan dari luar VPC terikat.

Penelepon di luar VPC terikat masih dapat mengakses titik akses jika lalu lintas mereka dirutekan melalui titik akhir VPC di VPC terikat — misalnya, melalui peering VPC atau Transit Gateway ke titik akhir Antarmuka Amazon S3 yang digunakan di VPC terikat.

Perbedaan utama

Cara kerja penegakan asal VPC

Ketika titik akses memiliki asal jaringan VPC, secara efektif berperilaku seolah-olah ada pernyataan kebijakan Tolak eksplisit yang menolak semua permintaan di mana aws:SourceVpc tidak sama dengan ID VPC yang ditentukan dalam titik akses. VpcConfiguration Deny ini berlaku untuk semua prinsipal, semua tindakan Amazon S3, dan semua sumber daya dalam jalur akses.

Karena ini adalah Deny eksplisit, ini mengesampingkan pernyataan Izinkan apa pun — baik dalam kebijakan jalur akses, kebijakan identitas IAM pemanggil, atau kebijakan lainnya.

Dalam praktiknya, ini berarti:

Ini juga mengapa pesan kesalahan untuk permintaan yang ditolak mengatakan “penolakan eksplisit dalam kebijakan berbasis sumber daya.”

Asal VPC vs. asal internet dengan Deny eksplisit

Titik VPC-origin akses dan titik akses internet-origin dengan StringNotEquals aws:SourceVpc Deny yang ditulis secara manual mencapai hasil yang serupa - keduanya menolak permintaan bukan dari VPC yang ditentukan. Perbedaan utamanya adalah:

Menggunakan titik akhir VPC dengan titik akses Amazon S3

Titik akses Amazon S3 bekerja dengan kedua jenis titik akhir VPC untuk Amazon S3. Jenis endpoint yang Anda butuhkan tergantung di mana penelepon Anda berada.

Titik akhir Gateway

Titik akhir Gateway gratis dan berbasis tabel rute. Saat Anda membuat titik akhir Gateway, rute ditambahkan ke tabel rute yang ditentukan yang mengarahkan lalu lintas Amazon S3 melalui titik akhir. Rute ini hanya berlaku untuk lalu lintas yang berasal dari VPC.

Gunakan titik akhir Gateway untuk:

Titik akhir Gateway tidak merutekan lalu lintas yang memasuki VPC dari:

Untuk informasi selengkapnya, lihat Titik akhir Gateway untuk Amazon S3 di Panduan Pengguna Amazon VPC.

Endpoint Antarmuka

Endpoint antarmuka membuat elastic network interface (ENI) dengan alamat IP pribadi di subnet Anda. Lalu lintas harus secara eksplisit diarahkan ke nama DNS titik akhir atau IP pribadi.

Gunakan titik akhir Antarmuka untuk:

Saat menggunakan titik akhir Antarmuka, penelepon harus:

Titik akhir antarmuka memiliki biaya per jam dan per GB. Untuk informasi selengkapnya, lihat harga AWS PrivateLink.

Menggunakan kedua tipe titik akhir secara bersamaan

Anda dapat menerapkan titik akhir Gateway dan titik akhir Antarmuka di VPC yang sama. Konfigurasi ini berguna bila Anda memiliki penelepon dalam vPC dan pemanggil lokal:

Kedua tipe endpoint mengisi aws:SourceVpc atribut dengan ID VPC, sehingga keduanya memenuhi kondisi Deny asal VPC.

Kebijakan VPC endpoint

Kebijakan titik akhir VPC mengontrol sumber daya Amazon S3 mana yang dapat diakses melalui titik akhir. Secara default, titik akhir VPC memungkinkan semua tindakan Amazon S3 pada semua sumber daya. Anda dapat membuat cakupan kebijakan titik akhir untuk mengizinkan hanya titik akses tertentu:

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point",
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point/object/*"
            ]
        }
    ]
}

Kebijakan titik akses

Kebijakan sumber daya dukungan jalur akses Amazon S3 AWS Identity and Access Management (IAM) yang memungkinkan Anda mengontrol penggunaan titik akses berdasarkan sumber daya, pengguna, atau kondisi lainnya. Untuk akses lintas akun, kebijakan jalur akses dan kebijakan identitas IAM pemanggil harus mengizinkan permintaan tersebut. Untuk akses akun yang sama, baik kebijakan titik akses atau kebijakan identitas IAM pemanggil dapat secara independen memberikan akses — untuk membatasi penelepon akun yang sama, gunakan pernyataan Tolak eksplisit dalam kebijakan jalur akses. Jika permintaan melintasi titik akhir VPC, kebijakan titik akhir VPC juga harus mengizinkan permintaan tersebut.

Untuk informasi selengkapnya tentang kebijakan jalur akses, lihat Mengonfigurasi kebijakan IAM untuk menggunakan titik akses di Panduan Pengguna Layanan Penyimpanan Sederhana Amazon.

Kunci kondisi untuk kontrol akses berbasis jaringan

IAM menyediakan kunci kondisi global yang dapat Anda gunakan dalam kebijakan titik akses untuk mengontrol akses berdasarkan properti jaringan permintaan. Kunci kondisi ini disertakan dalam konteks permintaan hanya dalam keadaan tertentu, seperti yang dijelaskan dalam tabel berikut.

Untuk informasi selengkapnya tentang kunci kondisi global IAM, lihat kunci konteks kondisi AWS global di Panduan Pengguna IAM.

Contoh alur perencanaan

Contoh skenario berikut menunjukkan konfigurasi umum untuk jalur akses Amazon S3 yang dilampirkan ke fsX untuk volume ONTAP. Setiap skenario mencakup asal jaringan yang direkomendasikan, jenis titik akhir VPC, dan kebijakan titik akses.

Akses VPC tunggal

Kasus penggunaan: Instans Amazon EC2, fungsi Lambda, atau tugas Amazon ECS dalam satu VPC mengakses jalur akses. Tidak diperlukan akses eksternal.

Dengan asal jaringan VPC:

Konfigurasi asal VPC secara efektif menolak permintaan yang aws:SourceVpc tidak cocok dengan VPC terikat. Permintaan dari VPC lain, internet, atau jaringan lokal ditolak. Anda dapat menggunakan titik akhir VPC Gateway atau Antarmuka Amazon S3.

Contoh kebijakan titik akses (asal VPC): Dengan asal VPC, pembatasan jaringan dibangun. Kebijakan jalur akses hanya perlu memberikan izin yang diinginkan.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {"AWS": "arn:aws:iam::123456789012:role/my-app-role"},
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point",
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point/object/*"
            ]
        }
    ]
}

Dengan asal jaringan Internet:

Dengan internet origin, Anda membatasi akses ke VPC aws:SourceVpc menggunakan kondisi dalam kebijakan jalur akses (dengan penolakan eksplisit). Titik akhir VPC diperlukan sehingga aws:SourceVpc diisi berdasarkan permintaan.

Contoh kebijakan titik akses (internet origin): Kebijakan ini mencakup Izinkan dengan kondisi VPC dan Tolak untuk permintaan bukan dari VPC.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {"AWS": "arn:aws:iam::123456789012:role/my-app-role"},
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point",
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point/object/*"
            ],
            "Condition": {
                "StringEquals": {"aws:SourceVpc": "vpc-1a2b3c4d"}
            }
        },
        {
            "Effect": "Deny",
            "Principal": "*",
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point",
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point/object/*"
            ],
            "Condition": {
                "StringNotEquals": {"aws:SourceVpc": "vpc-1a2b3c4d"}
            }
        }
    ]
}

On-premises dan akses VPC

Kasus penggunaan: Baik pengguna lokal (melalui VPN atau Direct Connect) dan sumber daya komputasi dalam vPC mengakses titik akses. Semua lalu lintas tetap pribadi.

Baik titik akhir Gateway (lalu lintas dalam vPC) dan titik akhir Antarmuka (lalu lintas on-prem) berada dalam VPC yang sama, sehingga keduanya memenuhi kondisi Deny asal VPC.

Multi-VPC akses

Kasus penggunaan: Penelepon di beberapa VPC perlu mengakses titik akses yang sama. Misalnya, aplikasi dalam VPC terpisah dalam akun yang sama, atau VPC di akun berbeda yang terhubung melalui peering VPC atau Transit Gateway.

Ada dua pendekatan untuk akses multi-VPC, tergantung pada apakah Anda ingin menggunakan kontrol berbasis kebijakan atau penegakan jaringan asal VPC.

Opsi 1: Asal Internet dengan titik akhir Gateway di setiap VPC

Setiap VPC memiliki endpoint Amazon S3 Gateway sendiri. Penelepon di setiap VPC mengakses titik akses melalui titik akhir Gateway lokal mereka, yang aws:SourceVpc terisi berdasarkan permintaan. Kebijakan jalur akses membatasi akses ke ID VPC yang diizinkan.

Opsi ini lebih mudah diatur karena setiap VPC beroperasi secara independen — tidak diperlukan peering VPC atau Transit Gateway. Untuk menambah atau menghapus VPC, perbarui kebijakan jalur akses.

Opsi 2: Asal VPC dengan titik akhir Antarmuka terpusat

Satu VPC menghosting titik akhir Antarmuka Amazon S3, dan titik akses dibuat dengan asal VPC yang terikat pada VPC itu. VPC lain merutekan lalu lintas Amazon S3 mereka ke titik akhir Antarmuka melalui peering VPC atau Transit Gateway. Karena semua permintaan tiba melalui titik akhir di VPC terikat, permintaan tersebut memenuhi penegakan asal VPC.

Opsi ini memberikan penegakan yang lebih kuat karena pembatasan asal VPC tidak dapat dilewati melalui perubahan kebijakan. Namun, ini memerlukan konektivitas peering VPC atau Transit Gateway, dan titik akhir Antarmuka memiliki biaya per jam dan per GB. Untuk informasi selengkapnya tentang titik akhir Antarmuka, lihat AWS PrivateLinkAmazon S3 di Panduan Pengguna Layanan Penyimpanan Sederhana Amazon.

Memecahkan masalah akses jaringan

Ketika permintaan jalur akses Amazon S3 gagal, pesan kesalahan sering tidak menunjukkan lapisan otorisasi mana yang menolak permintaan tersebut. Gunakan panduan berikut untuk mendiagnosis masalah umum.

AccessDenied dengan “penolakan eksplisit dalam kebijakan berbasis sumber daya”

Kesalahan ini bisa berasal dari berbagai sumber. Kerjakan pemeriksaan berikut secara berurutan:

1. Periksa asal VPC Deny (hanya titik VPC-origin akses)

Jika titik akses memiliki asal jaringan VPC, secara efektif menolak permintaan yang aws:SourceVpc tidak cocok dengan VPC terikat. Verifikasi bahwa:

2. Periksa kebijakan titik akhir VPC

Jika permintaan melintasi titik akhir VPC, kebijakan titik akhir harus mengizinkan tindakan pada sumber daya titik akses. Kebijakan endpoint default memungkinkan semua tindakan pada semua sumber daya. Jika Anda telah mencakup kebijakan, verifikasi itu termasuk titik akses ARN.

3. Periksa kebijakan jalur akses

Verifikasi bahwa kebijakan jalur akses memungkinkan prinsipal yang meminta. Periksa pernyataan Deny dengan kondisi yang mungkin cocok dengan permintaan.

4. Periksa kebijakan identitas IAM pemanggil

Peran IAM pemanggil atau pengguna harus memiliki izin untuk melakukan tindakan Amazon S3 pada titik akses ARN.

5. Periksa kebijakan kontrol layanan (SCP)

Jika akun merupakan bagian dari AWS organisasi Organizations, verifikasi bahwa tidak ada SCP yang menolak tindakan Amazon S3 pada titik akses.

On-premises penelepon mendapatkan AccessDenied tetapi penelepon dalam vPC berhasil

Ini biasanya berarti lalu lintas lokal tidak merutekan melalui titik akhir VPC:

Kondisi kebijakan titik akses tampaknya tidak berpengaruh