Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Configurazione dell'accesso alla rete per i punti di accesso Amazon S3

Quando crei un punto di accesso Amazon S3 per un volume FSx for ONTAP, configuri come raggiungere il punto di accesso sulla rete e chi è autorizzato a utilizzarlo. Questa sezione ti aiuta a scegliere la configurazione di rete e controllo degli accessi più adatta al tuo ambiente.

Questa sezione tratta i livelli di autorizzazione della rete e di IAM, in particolare l'origine della rete del punto di accesso, gli endpoint VPC, le politiche dei punti di accesso, le politiche degli endpoint VPC, le politiche di identità IAM e le politiche di controllo dei servizi. Per informazioni sull'autorizzazione a livello di file system (autorizzazioni utente UNIX e Windows), vedere. Identità e autorizzazione dell'utente del file system

In che modo Amazon S3 valuta le richieste dei punti di accesso

Quando una richiesta viene effettuata tramite un punto di accesso Amazon S3 collegato a un volume FSx for ONTAP, la richiesta deve essere autorizzata da tutti i seguenti livelli:

Il controllo dell'origine della rete avviene prima della valutazione delle politiche. I livelli rimanenti vengono valutati insieme come parte della decisione di autorizzazione IAM standard: un Deny esplicito in qualsiasi livello ha la precedenza sulle istruzioni Allow negli altri livelli.

Scelta di un'origine di rete

Quando crei un punto di accesso Amazon S3, scegli un'origine di rete che determina come raggiungere il punto di accesso. Non è possibile modificare l'origine della rete dopo la creazione.

Origine di Internet

Un punto di accesso con un'origine di rete Internet è simile a come si accede ai bucket S3 per impostazione predefinita. Tutte le richieste richiedono comunque credenziali e autorizzazioni IAM valide: l'origine di Internet non significa accesso pubblico o anonimo. Amazon S3 applica Block Public Access su tutti i punti di accesso collegati ai volumi FSx for ONTAP e non è possibile disabilitare questa impostazione.

Con l'origine da Internet, le richieste autenticate possono provenire da qualsiasi luogo: VPC, reti locali, altri AWS account o Internet pubblico. Puoi controllare quali chiamanti autenticati sono autorizzati utilizzando la policy del punto di accesso e le policy di identità IAM.

Con Internet Origin, controlli l'accesso utilizzando la policy del punto di accesso e le policy di identità IAM. Per i chiamanti che utilizzano lo stesso account, utilizza le istruzioni Deny esplicite nella policy del punto di accesso per limitare l'accesso: una politica non è sufficiente perché la Allow-only politica di identità IAM del chiamante può concedere l'accesso in modo indipendente. Per i chiamanti con più account, la policy del punto di accesso deve consentire esplicitamente la richiesta, quindi omettere un Consenti è sufficiente per bloccare l'accesso.

Origine VPC

Un punto di accesso con un'origine di rete VPC è associato a un VPC specifico e si comporta efficacemente come un'esplicita dichiarazione di politica Deny che rifiuta qualsiasi richiesta che non corrisponde al VPC associato. aws:SourceVpc Poiché un rifiuto esplicito ha sempre la precedenza su qualsiasi opzione Allow, anche una policy del punto di accesso completamente permissiva o una policy di identità IAM non può concedere l'accesso alle richieste provenienti dall'esterno del VPC associato.

I chiamanti esterni al VPC associato possono comunque accedere al punto di accesso se il loro traffico viene instradato attraverso un endpoint VPC nel VPC associato, ad esempio tramite peering VPC o Transit Gateway verso un endpoint dell'interfaccia Amazon S3 distribuito nel VPC associato.

Differenze principali

Come funziona l'applicazione dell'origine dei VPC

Quando un punto di accesso ha un'origine di rete VPC, si comporta in effetti come se esistesse un'esplicita dichiarazione di rifiuto che nega tutte le richieste se aws:SourceVpc non è uguale all'ID VPC specificato nel punto di accesso. VpcConfiguration Questa negazione si applica a tutti i principali, a tutte le azioni di Amazon S3 e a tutte le risorse all'interno del punto di accesso.

Poiché si tratta di un tipo Deny esplicito, ha la precedenza su qualsiasi istruzione Allow, che si tratti della politica del punto di accesso, della politica di identità IAM del chiamante o di qualsiasi altra politica.

In pratica, ciò significa:

Questo è anche il motivo per cui il messaggio di errore relativo alle richieste negate riporta la dicitura «rifiuto esplicito in una politica basata sulle risorse».

Origine VPC e origine Internet con un rifiuto esplicito

Un punto di VPC-origin accesso e un punto di accesso di origine Internet con un StringNotEquals aws:SourceVpc Deny scritto manualmente ottengono un risultato simile: entrambi negano le richieste che non provengono dal VPC specificato. La differenza fondamentale è la seguente:

Utilizzo di endpoint VPC con punti di accesso Amazon S3

Gli access point Amazon S3 funzionano con entrambi i tipi di endpoint VPC per Amazon S3. Il tipo di endpoint di cui hai bisogno dipende da dove si trovano i chiamanti.

Endpoint gateway

Gli endpoint del gateway sono gratuiti e basati su tabelle di routing. Quando si crea un endpoint Gateway, viene aggiunta una route alle tabelle di route specificate che indirizza il traffico Amazon S3 attraverso l'endpoint. Questo percorso si applica solo al traffico proveniente dal VPC.

Utilizza gli endpoint Gateway per:

Gli endpoint del gateway non instradano il traffico che entra nel VPC da:

Per ulteriori informazioni, consulta Endpoint Gateway per Amazon S3 nella Amazon VPC User Guide.

Endpoint di interfaccia

Gli endpoint di interfaccia creano un'interfaccia di rete elastica (ENI) con un indirizzo IP privato nella sottorete. Il traffico deve essere indirizzato in modo esplicito al nome DNS o all'IP privato dell'endpoint.

Usa gli endpoint dell'interfaccia per:

Quando si utilizza un endpoint di interfaccia, i chiamanti devono:

Gli endpoint di interfaccia hanno tariffe orarie e per GB. Per ulteriori informazioni, consultare Prezzi di AWS PrivateLink.

Utilizzo congiunto di entrambi i tipi di endpoint

È possibile implementare sia un endpoint Gateway che un endpoint Interface nello stesso VPC. Questa configurazione è utile quando si dispone sia di chiamanti in-VPC che di chiamanti locali:

Entrambi i tipi di endpoint popolano l'aws:SourceVpcattributo con l'ID VPC, quindi entrambi soddisfano la condizione VPC origin Deny.

Policy di endpoint VPC

Le policy degli endpoint VPC controllano a quali risorse Amazon S3 è possibile accedere tramite l'endpoint. Per impostazione predefinita, un endpoint VPC consente tutte le azioni di Amazon S3 su tutte le risorse. Puoi definire l'ambito della policy degli endpoint in modo da consentire solo punti di accesso specifici:

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point",
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point/object/*"
            ]
        }
    ]
}

Policy del punto di accesso

I punti di accesso Amazon S3 supportano politiche di risorse AWS Identity and Access Management (IAM) che consentono di controllare l'uso del punto di accesso in base alla risorsa, all'utente o ad altre condizioni. Per l'accesso tra account diversi, sia la policy del punto di accesso che la policy di identità IAM del chiamante devono consentire la richiesta. Per l'accesso allo stesso account, la politica del punto di accesso o la politica di identità IAM del chiamante possono concedere l'accesso in modo indipendente: per limitare i chiamanti dello stesso account, utilizza istruzioni Deny esplicite nella politica del punto di accesso. Se la richiesta attraversa un endpoint VPC, anche la policy dell'endpoint VPC deve consentire la richiesta.

Per ulteriori informazioni sulle policy dei punti di accesso, consulta Configurazione delle policy IAM per l'utilizzo degli access point nella Amazon Simple Storage Service User Guide.

Chiavi condizionali per il controllo degli accessi basato sulla rete

IAM fornisce chiavi di condizione globali che è possibile utilizzare nelle politiche dei punti di accesso per controllare l'accesso in base alle proprietà di rete della richiesta. Queste chiavi di condizione sono incluse nel contesto della richiesta solo in circostanze specifiche, come descritto nella tabella seguente.

Per ulteriori informazioni sulle chiavi di condizione globali IAM, consulta le chiavi di contesto delle condizioni AWS globali nella Guida per l'utente IAM.

Scenari di esempio

Gli scenari di esempio seguenti mostrano configurazioni comuni per i punti di accesso Amazon S3 collegati ai volumi FSx for ONTAP. Ogni scenario include l'origine di rete consigliata, il tipo di endpoint VPC e la policy del punto di accesso.

Accesso VPC singolo

Caso d'uso: istanze Amazon EC2, funzioni Lambda o attività Amazon ECS all'interno di un singolo VPC per accedere al punto di accesso. Non è necessario alcun accesso esterno.

Con origine di rete VPC:

La configurazione di origine del VPC nega efficacemente le richieste aws:SourceVpc che non corrispondono al VPC associato. Le richieste provenienti da altri VPC, da Internet o da reti locali vengono negate. Puoi utilizzare un endpoint VPC Gateway o Interface Amazon S3.

Esempio di policy del punto di accesso (origine VPC): con l'origine VPC, la restrizione di rete è integrata. La politica del punto di accesso deve solo concedere le autorizzazioni desiderate.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {"AWS": "arn:aws:iam::123456789012:role/my-app-role"},
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point",
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point/object/*"
            ]
        }
    ]
}

Con origine dalla rete Internet:

Con Internet Origin, si limita l'accesso al VPC utilizzando aws:SourceVpc le condizioni della policy del punto di accesso (con un rifiuto esplicito). È necessario un endpoint VPC in modo che aws:SourceVpc venga compilato sulla richiesta.

Esempio di policy sui punti di accesso (origine Internet): la policy include sia una condizione Allow with a VPC sia una condizione Deny per le richieste non provenienti dal VPC.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {"AWS": "arn:aws:iam::123456789012:role/my-app-role"},
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point",
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point/object/*"
            ],
            "Condition": {
                "StringEquals": {"aws:SourceVpc": "vpc-1a2b3c4d"}
            }
        },
        {
            "Effect": "Deny",
            "Principal": "*",
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point",
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point/object/*"
            ],
            "Condition": {
                "StringNotEquals": {"aws:SourceVpc": "vpc-1a2b3c4d"}
            }
        }
    ]
}

On-premises e accesso VPC

Caso d'uso: sia gli utenti locali (tramite VPN o Direct Connect) che le risorse di elaborazione in-VPC accedono al punto di accesso. Tutto il traffico rimane privato.

Sia l'endpoint Gateway (traffico in-VPC) che l'endpoint Interface (traffico on-premise) si trovano nello stesso VPC, quindi entrambi soddisfano la condizione VPC origin Deny.

Multi-VPC accesso

Caso d'uso: i chiamanti in più VPC devono accedere allo stesso punto di accesso. Ad esempio, applicazioni in VPC separati all'interno dello stesso account o VPC in account diversi collegati tramite peering VPC o Transit Gateway.

Esistono due approcci per l'accesso multi-VPC, a seconda che si desideri utilizzare controlli basati su policy o l'applicazione della rete di origine VPC.

Opzione 1: origine Internet con un endpoint Gateway in ogni VPC

Ogni VPC ha il proprio endpoint Amazon S3 Gateway. I chiamanti di ogni VPC accedono al punto di accesso tramite l'endpoint Gateway locale, che viene aws:SourceVpc compilato in base alla richiesta. La politica del punto di accesso limita l'accesso agli ID VPC consentiti.

Questa opzione è più semplice da configurare perché ogni VPC funziona in modo indipendente: non è richiesto alcun peering VPC o Transit Gateway. Per aggiungere o rimuovere VPC, aggiorna la politica dei punti di accesso.

Opzione 2: origine VPC con un endpoint di interfaccia centralizzato

Un VPC ospita un endpoint dell'interfaccia Amazon S3 e il punto di accesso viene creato con l'origine VPC associata a quel VPC. Altri VPC indirizzano il traffico Amazon S3 all'endpoint Interface tramite peering VPC o Transit Gateway. Poiché tutte le richieste arrivano tramite un endpoint nel VPC associato, soddisfano l'applicazione dell'origine del VPC.

Questa opzione offre un'applicazione più efficace perché la restrizione all'origine del VPC non può essere aggirata modificando le politiche. Tuttavia, richiede il peering VPC o la connettività Transit Gateway e l'endpoint Interface prevede tariffe orarie e per GB. Per ulteriori informazioni sugli endpoint dell'interfaccia, consulta Amazon S3 nella Guida AWS PrivateLink per l'utente di Amazon Simple Storage Service.

Risoluzione dei problemi di accesso alla rete

Quando una richiesta del punto di accesso Amazon S3 fallisce, il messaggio di errore spesso non indica quale livello di autorizzazione ha negato la richiesta. Utilizza le seguenti linee guida per diagnosticare problemi comuni.

AccessDenied con «rifiuto esplicito in una politica basata sulle risorse»

Questo errore può provenire da più fonti. Esegui i seguenti controlli nell'ordine:

1. Verifica l'origine del VPC Deny (solo punti di VPC-origin accesso)

Se il punto di accesso ha un'origine di rete VPC, nega efficacemente le richieste che aws:SourceVpc non corrispondono al VPC associato. Verificare che:

2. Controlla la policy degli endpoint VPC

Se la richiesta attraversa un endpoint VPC, la policy dell'endpoint deve consentire l'azione sulla risorsa del punto di accesso. La policy predefinita per gli endpoint consente tutte le azioni su tutte le risorse. Se hai definito l'ambito della policy, verifica che includa l'ARN del punto di accesso.

3. Controlla la politica sui punti di accesso

Verifica che la politica del punto di accesso consenta il principale richiedente. Controlla le dichiarazioni Deny con condizioni che potrebbero corrispondere alla richiesta.

4. Controlla la politica di identità IAM del chiamante

Il ruolo o l'utente IAM del chiamante deve disporre delle autorizzazioni per eseguire l'azione Amazon S3 sull'ARN del punto di accesso.

5. Verifica le politiche di controllo del servizio (SCP)

Se l'account fa parte di un'organizzazione AWS Organizations, verifica che nessun SCP neghi le azioni di Amazon S3 sul punto di accesso.

On-premises i chiamanti ricevono AccessDenied ma i chiamanti in-VPC hanno successo

Ciò significa in genere che il traffico locale non viene instradato attraverso un endpoint VPC:

Le condizioni relative alle policy relative ai punti di accesso sembrano non avere alcun effetto