Prerequisiti per la disabilitazione delle ACL

Una lista di controllo degli accessi (ACL) ai bucket in Amazon S3 è un meccanismo che consente di definire autorizzazioni granulari per singoli oggetti all’interno di un bucket S3, specificando quali account AWS o gruppi possono accedere e modificare tali oggetti. La maggior parte degli attuali casi d'uso in Amazon S3 non richiede più l'uso delle ACL. È consigliabile utilizzare policy di bucket e AWS Identity and Access Management (IAM) per gestire l’accesso e mantenere le ACL disabilitate, tranne nelle circostanze in cui è necessario controllare individualmente l’accesso per ciascun oggetto.

Se le ACL sono già abilitate nel bucket, prima di disabilitarle, verifica i seguenti prerequisiti:

Esamina le ACL di bucket e oggetti e migra le autorizzazioni ACL

Quando si disattivano le ACL, le autorizzazioni concesse dalle ACL di bucket e oggetti non influiranno più sull'accesso. Prima di disabilitare le ACL, rivedere le ACL bucket e oggetto.

Ciascuna delle ACL di bucket e di oggetti esistenti ha un equivalente in una policy IAM. I seguenti esempi di policy di bucket mostrano come le autorizzazioni READ e WRITE per le ACL di bucket e di oggetti sono associate alle autorizzazioni IAM. Per ulteriori informazioni su come ogni ACL si traduce in autorizzazioni IAM, consulta Mappatura delle autorizzazioni ACL e delle autorizzazioni della policy di accesso.

Prima di disabilitare le ACL:

Se le ACL del bucket forniscono autorizzazioni di lettura o scrittura ad altri utenti esterni all’account, prima di poter disabilitare le ACL è necessario migrare tali autorizzazioni nella policy di bucket. Dopo aver migrato queste autorizzazioni, è possibile impostare Proprietà dell’oggetto sull’impostazione Proprietario del bucket applicato. Se non esegui la migrazione delle ACL del bucket che concedono l'accesso in lettura o scrittura al di fuori del tuo account, la richiesta di applicare l'impostazione Proprietario del bucket applicato non va a buon fine e restituisce il codice di errore InvalidBucketAclWithObjectOwnership.

Se l'ACL del tuo bucket garantisce l'accesso al di fuori del tuo Account AWS, prima di disabilitare le ACL, è necessario migrare le autorizzazioni ACL del bucket alla policy di bucket e reimpostare l'ACL del bucket all'ACL privato predefinito. Se non si esegue la migrazione e il ripristino, la richiesta di applicare l’impostazione Proprietario del bucket applicato per disabilitare le ACL non riesce e restituisce il codice di errore InvalidBucketAclWithObjectOwnership. Ti consigliamo inoltre di rivedere le autorizzazioni ACL dell'oggetto e di migrarle alla policy di bucket.

Per esaminare e migrare le autorizzazioni ACL alle policy di bucket, consultare i seguenti argomenti.

Esempi di policy di bucket

Queste policy di bucket esemplificative mostrano come migrare le autorizzazioni ACL READ e WRITE di bucket e di oggetti per un Account AWS di terze parti ad una policy di bucket. Le ACL READ_ACP e WRITE_ACP sono meno rilevanti per le policy perché concedono autorizzazioni relative all'ACL (s3:GetBucketAcl,s3:GetObjectAcl,s3:PutBucketAcl, es3:PutObjectAcl).

"Resource": "arn:aws:s3:::amzn-s3-demo-bucket/OBJECT-KEY"

Utilizzo della console S3 per esaminare e migrare le autorizzazioni ACL

Utilizzo della AWS CLI per esaminare e migrare le autorizzazioni ACL

Identifica tutte le richieste che richiedono una ACL per l'autorizzazione

Per identificare le richieste Amazon S3 che richiedono le ACL per l'autorizzazione, puoi utilizzare il valore aclRequired nei log degli accessi del server Amazon S3 oppure AWS CloudTrail. Se la richiesta richiede un ACL per l'autorizzazione o se sono presenti richieste PUT che specificano un ACL, la stringa è Yes. Se non sono richiesti ACL, se stai impostando un bucket-owner-full-control ACL predefinito o se le richieste sono consentite dalla tua policy del bucket, la stringa di valore aclRequired è "-" nei log di accesso al server Amazon S3 ed è assente in CloudTrail. Per ulteriori informazioni sui valori aclRequired attesi, consulta Valori aclRequired per le richieste di Amazon S3.

Se hai richieste PutBucketAcl o PutObjectAcl con intestazioni che concedono autorizzazioni basate sugli ACL, ad eccezione degli ACL bucket-owner-full-control predefiniti, devi rimuovere tali intestazioni prima di poter disabilitare gli ACL. In caso contrario, le tue richieste non avranno esito positivo.

Per tutte le altre richieste che richiedevano un ACL per l'autorizzazione, migra tali autorizzazioni ACL alle policy dei bucket. Quindi, rimuovi tutti gli ACL del bucket prima di abilitare l'impostazione forzata del proprietario del bucket.

Se vedi che nessuna richiesta richiedeva un ACL per l'autorizzazione, puoi procedere alla disattivazione degli ACL. Per ulteriori informazioni sull'identificazione delle richieste, vedere Utilizzo dei log degli accessi al server Amazon S3 per identificare le richieste eUtilizzo di CloudTrail per identificare le richieste di Amazon S3.

Esamina e aggiorna le policy del bucket che utilizzano chiavi di condizione relative all'ACL

Dopo aver applicato l'impostazione Proprietario del bucket applicato per disabilitare le ACL, i nuovi oggetti possono essere caricati nel bucket solo se la richiesta utilizza ACL di controllo completo del proprietario del bucket o se non specifica un'ACL. Prima di disabilitare le ACL, consulta la policy del bucket per le chiavi di condizione relative all'ACL.

Se la policy del bucket utilizza una chiave di condizione relativa all'ACL per richiedere l'ACL predefinita bucket-owner-full-control (ad esempio s3:x-amz-acl), non è necessario aggiornare la policy del bucket. La seguente policy di bucket utilizza il codice s3:x-amz-acl per richiedere l'ACL predefinita bucket-owner-full-control per le richieste PutObject di S3. Questa policy richiede ancora all'object writer di specificare l'ACL predefinita bucket-owner-full-control. Tuttavia, i bucket con ACL disabilitate accettano ancora questa ACL, quindi le richieste continuano ad avere successo senza bisogno di modifiche sul lato client.

Tuttavia, se la policy di bucket utilizza una chiave di condizione relativa all'ACL che richiede un'ACL diversa, è necessario rimuovere questa chiave di condizione. Questo esempio di policy di bucket richiede l'ACL public-read per le richieste PutObject di S3 e quindi deve essere aggiornata prima di disabilitare le ACL.

Casi d'uso di esempio

Negli esempi seguenti viene illustrato come migrare le autorizzazioni ACL alle policy di bucket per casi d'uso specifici.

Concedere l'accesso al gruppo di consegna di log S3 per la registrazione di log degli accessi al server

Se desideri applicare l'impostazione Proprietario del bucket applicato per disabilitare le ACL per un bucket di destinazione di registrazione di log degli accessi a un server (noto anche come bucket target), è necessario migrare le autorizzazioni ACL bucket per il gruppo di consegna di log S3 al principale del servizio di registrazione di log (logging.s3.amazonaws.com) in una policy del bucket. Per ulteriori informazioni sulle autorizzazioni della distribuzione dei registri, consultare Autorizzazioni per la distribuzione dei registri.

Questa ACL del bucket concede l'accesso WRITE e READ_ACP al gruppo di distribuzione di registri S3:

{
    "Owner": {
        "DisplayName": "DOC-EXAMPLE-ACCOUNT-OWNER", 
        "ID": "852b113e7a2f25102679df27bb0ae12b3f85be6BucketOwnerCanonicalUserID"
    }, 
    "Grants": [
        {
            "Grantee": {
                "Type": "CanonicalUser", 
                "DisplayName": "DOC-EXAMPLE-ACCOUNT-OWNER", 
                "ID": "852b113e7a2f25102679df27bb0ae12b3f85be6BucketOwnerCanonicalUserID"
            }, 
            "Permission": "FULL_CONTROL"
        }, 
        {
            "Grantee": {
                "Type": "Group", 
                "URI": "http://acs.amazonaws.com/groups/s3/LogDelivery"
            }, 
            "Permission": "WRITE"
        }, 
        {
            "Grantee": {
                "Type": "Group", 
                "URI": "http://acs.amazonaws.com/groups/s3/LogDelivery"
            }, 
            "Permission": "READ_ACP"
        }
    ]
}

Concedere l'accesso pubblico in lettura agli oggetti nel bucket

Se le ACL di oggetto consentono l'accesso pubblico in lettura a tutti gli oggetti del bucket, è possibile migrare queste autorizzazioni ACL a una policy di bucket.

Questa ACL di oggetto concede l'accesso pubblico in lettura a un oggetto in un bucket:

{
    "Owner": {
        "DisplayName": "DOC-EXAMPLE-ACCOUNT-OWNER",
        "ID": "852b113e7a2f25102679df27bb0ae12b3f85be6BucketOwnerCanonicalUserID"
    },
    "Grants": [
        {
            "Grantee": {
                "DisplayName": "DOC-EXAMPLE-ACCOUNT-OWNER",
                "ID": "852b113e7a2f25102679df27bb0ae12b3f85be6BucketOwnerCanonicalUserID",
                "Type": "CanonicalUser"
            },
            "Permission": "FULL_CONTROL"
        },
        {
            "Grantee": {
                "Type": "Group",
                "URI": "http://acs.amazonaws.com/groups/global/AllUsers"
            },
            "Permission": "READ"
        }
    ]
}

Concedere ad Amazon ElastiCache (Redis OSS) l'accesso al proprio bucket S3

È possibile esportare il backup di ElastiCache (Redis OSS) in un bucket S3, che consente di accedere al backup dall'esterno di ElastiCache. Per esportare il backup in un bucket S3, è necessario concedere ad ElastiCache le autorizzazioni per copiare uno snapshot nel bucket. Se hai concesso le autorizzazioni a ElastiCache in un ACL bucket, è necessario migrare queste autorizzazioni a una policy del bucket prima di applicare l'impostazione Proprietario del bucket applicato per disabilitare le ACL. Per ulteriori informazioni, consulta Concedi a ElastiCache l'accesso al bucket Amazon S3 nella Guida per l'utente di Amazon ElastiCache.

L'esempio seguente mostra le autorizzazioni ACL di bucket che concedono le autorizzazioni a ElastiCache.

{
    "Owner": {
        "DisplayName": "DOC-EXAMPLE-ACCOUNT-OWNER",
        "ID": "852b113e7a2f25102679df27bb0ae12b3f85be6BucketOwnerCanonicalUserID"
    },
    "Grants": [
        {
            "Grantee": {
                "DisplayName": "DOC-EXAMPLE-ACCOUNT-OWNER",
                "ID": "852b113e7a2f25102679df27bb0ae12b3f85be6BucketOwnerCanonicalUserID",
                "Type": "CanonicalUser"
            },
            "Permission": "FULL_CONTROL"
        },
        {
            "Grantee": {
                "DisplayName": "aws-scs-s3-readonly",
                "ID": "540804c33a284a299d2547575ce1010f2312ef3da9b3a053c8bc45bf233e4353",
                "Type": "CanonicalUser"
            },
            "Permission": "READ"
        },
        {
            "Grantee": {
                "DisplayName": "aws-scs-s3-readonly",
                "ID": "540804c33a284a299d2547575ce1010f2312ef3da9b3a053c8bc45bf233e4353",
                "Type": "CanonicalUser"
            },
            "Permission": "WRITE"
        },
        {
            "Grantee": {
                "DisplayName": "aws-scs-s3-readonly",
                "ID": "540804c33a284a299d2547575ce1010f2312ef3da9b3a053c8bc45bf233e4353",
                "Type": "CanonicalUser"
            },
            "Permission": "READ_ACP"
        }
    ]
}