기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

Amazon S3 액세스 포인트에 대한 네트워크 액세스 구성

FSx for ONTAP 볼륨에 대한 Amazon S3 액세스 포인트를 생성할 때 네트워크를 통해 액세스 포인트에 도달하는 방법과 이를 사용할 권한이 있는 사용자를 구성합니다. 이 섹션에서는 환경에 적합한 네트워크 및 액세스 제어 구성을 선택하는 데 도움이 됩니다.

이 섹션에서는 네트워크 및 IAM 권한 부여 계층, 특히 액세스 포인트의 네트워크 오리진, VPC 엔드포인트, 액세스 포인트 정책, VPC 엔드포인트 정책, IAM 자격 증명 정책 및 서비스 제어 정책을 다룹니다. 파일 시스템 수준 권한 부여(UNIX 및 Windows 사용자 권한)에 대한 자세한 내용은 섹션을 참조하세요파일 시스템 사용자 자격 증명 및 권한 부여.

Amazon S3가 액세스 포인트 요청을 평가하는 방법

FSx for ONTAP 볼륨에 연결된 Amazon S3 액세스 포인트를 통해 요청이 이루어진 경우 다음 계층 모두에서 요청을 승인해야 합니다.

네트워크 오리진 검사는 정책 평가 전에 수행됩니다. 나머지 계층은 표준 IAM 권한 부여 결정의 일부로 함께 평가됩니다. 계층의 명시적 거부는 다른 계층의 허용 문을 재정의합니다.

네트워크 오리진 선택

Amazon S3 액세스 포인트를 생성할 때 액세스 포인트에 도달할 수 있는 방법을 결정하는 네트워크 오리진을 선택합니다. 생성 후에는 네트워크 오리진을 변경할 수 없습니다.

인터넷 오리진

인터넷 네트워크 오리진이 있는 액세스 포인트는 기본적으로 S3 버킷에 액세스하는 방식과 유사합니다. 모든 요청은 여전히 유효한 IAM 자격 증명 및 권한 부여가 필요합니다. 인터넷 오리진은 퍼블릭 또는 익명 액세스를 의미하지 않습니다. Amazon S3는 FSx for ONTAP 볼륨에 연결된 모든 액세스 포인트에 퍼블릭 액세스 차단을 적용하므로이 설정을 비활성화할 수 없습니다.

인터넷 오리진을 사용하면 인증된 요청은 VPCs, 온프레미스 네트워크, 기타 AWS 계정 또는 퍼블릭 인터넷 등 어디에서나 올 수 있습니다. 액세스 포인트 정책 및 IAM 자격 증명 정책을 사용하여 허용되는 인증된 호출자를 제어합니다.

인터넷 오리진을 사용하면 액세스 포인트 정책 및 IAM 자격 증명 정책을 사용하여 액세스를 제어할 수 있습니다. 동일 계정 호출자의 경우 액세스 포인트 정책에서 명시적 거부 문을 사용하여 액세스를 제한합니다. 호출자의 IAM 자격 증명 정책이 독립적으로 액세스 권한을 부여할 수 있으므로 허용 전용 정책으로는 충분하지 않습니다. 교차 계정 호출자의 경우 액세스 포인트 정책은 요청을 명시적으로 허용해야 하므로 허용을 생략하면 액세스를 차단하는 데 충분합니다.

VPC 오리진

VPC 네트워크 오리진이 있는 액세스 포인트는 특정 VPC에 바인딩되며가 바인딩된 VPC와 일치하지 않는 요청을 거부하는 명시적 거부 정책 설명으로 효과적으로 동작aws:SourceVpc합니다. 명시적 거부는 항상 허용을 재정의하므로 완전히 허용적인 액세스 포인트 정책 또는 IAM 자격 증명 정책이라도 바인딩된 VPC 외부의 요청에 대한 액세스 권한을 부여할 수 없습니다.

바인딩된 VPC 외부의 발신자는 트래픽이 바인딩된 VPC의 VPC 엔드포인트를 통해, 예를 들어 VPC 피어링 또는 전송 게이트웨이를 통해 바인딩된 VPC에 배포된 Amazon S3 인터페이스 엔드포인트로 라우팅되는 경우에도 액세스 포인트에 액세스할 수 있습니다.

주요 차이점

VPC 오리진 적용 작동 방식

액세스 포인트에 VPC 네트워크 오리진이 있는 경우가 액세스 포인트의에 지정된 VPC ID와 같aws:SourceVpc지 않은 모든 요청을 거부하는 명시적 거부 정책 문이 있는 것처럼 효과적으로 동작합니다VpcConfiguration. 이 거부는 액세스 포인트 내의 모든 보안 주체, 모든 Amazon S3 작업 및 모든 리소스에 적용됩니다.

이는 명시적 거부이므로 액세스 포인트 정책, 호출자의 IAM 자격 증명 정책 또는 기타 정책에 관계없이 모든 Allow 문을 재정의합니다.

실제로 이는 다음을 의미합니다.

또한 거부된 요청에 대한 오류 메시지에 "리소스 기반 정책에서 명시적 거부"라고 표시되는 이유도 여기에 있습니다.

명시적 거부가 있는 VPC 오리진과 인터넷 오리진 비교

VPC 오리진 액세스 포인트와 수동으로 작성된 StringNotEquals aws:SourceVpc 거부가 있는 인터넷 오리진 액세스 포인트는 비슷한 결과를 얻습니다. 둘 다 지정된 VPC의 요청이 아닌 요청을 거부합니다. 주요 차이점은 다음과 같습니다.

Amazon S3 액세스 포인트에서 VPC 엔드포인트 사용

Amazon S3 액세스 포인트는 Amazon S3에 대한 두 가지 유형의 VPC 엔드포인트에서 모두 작동합니다. 필요한 엔드포인트 유형은 호출자의 위치에 따라 다릅니다.

게이트웨이 엔드포인트

게이트웨이 엔드포인트는 무료이며 라우팅 테이블을 기반으로 합니다. 게이트웨이 엔드포인트를 생성하면 엔드포인트를 통해 Amazon S3 트래픽을 전달하는 라우팅이 지정된 라우팅 테이블에 추가됩니다. 이 경로는 VPC 내에서 시작되는 트래픽에만 적용됩니다.

게이트웨이 엔드포인트 사용 대상:

게이트웨이 엔드포인트는 다음에서 VPC로 들어오는 트래픽을 라우팅하지 않습니다.

자세한 내용은 Amazon VPC 사용 설명서의 Amazon S3용 게이트웨이 엔드포인트를 참조하세요.

인터페이스 엔드포인트

인터페이스 엔드포인트는 서브넷에 프라이빗 IP 주소를 사용하여 탄력적 네트워크 인터페이스(ENI)를 생성합니다. 트래픽은 엔드포인트의 DNS 이름 또는 프라이빗 IP로 명시적으로 전달되어야 합니다.

인터페이스 엔드포인트 사용 대상:

인터페이스 엔드포인트를 사용할 때 호출자는 다음 중 하나를 수행해야 합니다.

인터페이스 엔드포인트에는 시간당 및 GB당 요금이 부과됩니다. 자세한 내용은 AWS PrivateLinK 요금을 참조하세요.

두 엔드포인트 유형을 함께 사용

게이트웨이 엔드포인트와 인터페이스 엔드포인트를 동일한 VPC에 모두 배포할 수 있습니다. 이 구성은 VPC 내 호출자와 온프레미스 호출자가 모두 있는 경우에 유용합니다.

두 엔드포인트 유형 모두 aws:SourceVpc 속성을 VPC ID로 채우므로 둘 다 VPC 오리진 거부 조건을 충족합니다.

VPC 엔드포인트 정책

VPC 엔드포인트 정책은 엔드포인트를 통해 액세스할 수 있는 Amazon S3 리소스를 제어합니다. 기본적으로 VPC 엔드포인트는 모든 리소스에서 모든 Amazon S3 작업을 허용합니다. 특정 액세스 포인트만 허용하도록 엔드포인트 정책의 범위를 지정할 수 있습니다.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point",
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point/object/*"
            ]
        }
    ]
}

액세스 포인트 정책

Amazon S3 액세스 포인트는 리소스, 사용자 또는 기타 조건별로 액세스 포인트 사용을 제어할 수 있는 AWS Identity and Access Management (IAM) 리소스 정책을 지원합니다. 교차 계정 액세스의 경우 액세스 포인트 정책과 호출자의 IAM 자격 증명 정책 모두 요청을 허용해야 합니다. 동일한 계정 액세스의 경우 액세스 포인트 정책 또는 호출자의 IAM 자격 증명 정책이 독립적으로 액세스 권한을 부여할 수 있습니다. 즉, 동일한 계정 호출자를 제한하려면 액세스 포인트 정책에서 명시적 거부 문을 사용합니다. 요청이 VPC 엔드포인트를 통과하는 경우 VPC 엔드포인트 정책도 요청을 허용해야 합니다.

액세스 포인트 정책에 대한 자세한 내용은 Amazon Simple Storage Service 사용 설명서의 액세스 포인트를 사용하기 위한 IAM 정책 구성을 참조하세요.

네트워크 기반 액세스 제어를 위한 조건 키

IAM은 액세스 포인트 정책에서 요청의 네트워크 속성을 기반으로 액세스를 제어하는 데 사용할 수 있는 전역 조건 키를 제공합니다. 이러한 조건 키는 다음 표에 설명된 대로 특정 상황에서만 요청 컨텍스트에 포함됩니다.

IAM 전역 조건 키에 대한 자세한 내용은 IAM 사용 설명서의 AWS 전역 조건 컨텍스트 키를 참조하세요.

예제 시나리오

다음 예제 시나리오에서는 FSx for ONTAP 볼륨에 연결된 Amazon S3 액세스 포인트의 일반적인 구성을 보여줍니다. 각 시나리오에는 권장 네트워크 오리진, VPC 엔드포인트 유형 및 액세스 포인트 정책이 포함됩니다.

단일 VPC 액세스

사용 사례: 단일 VPC 내의 Amazon EC2 인스턴스, Lambda 함수 또는 Amazon ECS 태스크가 액세스 포인트에 액세스합니다. 외부 액세스가 필요하지 않습니다.

VPC 네트워크 오리진 사용:

VPC 오aws:SourceVpc리진 구성은가 바인딩된 VPC와 일치하지 않는 요청을 효과적으로 거부합니다. 다른 VPCs, 인터넷 또는 온프레미스 네트워크의 요청은 거부됩니다. 게이트웨이 또는 인터페이스 Amazon S3 VPC 엔드포인트를 사용할 수 있습니다.

예제 액세스 포인트 정책(VPC 오리진): VPC 오리진을 사용하면 네트워크 제한이 기본으로 제공됩니다. 액세스 포인트 정책은 원하는 권한만 부여하면 됩니다.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {"AWS": "arn:aws:iam::123456789012:role/my-app-role"},
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point",
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point/object/*"
            ]
        }
    ]
}

인터넷 네트워크 오리진:

인터넷 오리진을 사용하면 액세스 포인트 정책의 aws:SourceVpc 조건(명시적 거부 포함)을 사용하여 VPC에 대한 액세스를 제한할 수 있습니다. 요청에 aws:SourceVpc가 채워지도록 하려면 VPC 엔드포인트가 필요합니다.

액세스 포인트 정책 예제(인터넷 오리진):이 정책에는 VPC 조건이 있는 허용과 VPC가 아닌 요청에 대한 거부가 모두 포함됩니다.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {"AWS": "arn:aws:iam::123456789012:role/my-app-role"},
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point",
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point/object/*"
            ],
            "Condition": {
                "StringEquals": {"aws:SourceVpc": "vpc-1a2b3c4d"}
            }
        },
        {
            "Effect": "Deny",
            "Principal": "*",
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point",
                "arn:aws:s3:us-east-1:123456789012:accesspoint/my-access-point/object/*"
            ],
            "Condition": {
                "StringNotEquals": {"aws:SourceVpc": "vpc-1a2b3c4d"}
            }
        }
    ]
}

온프레미스 및 VPC 액세스

사용 사례: 온프레미스 사용자(VPN 또는 Direct Connect를 통해)와 VPC 내 컴퓨팅 리소스 모두 액세스 포인트에 액세스합니다. 모든 트래픽은 비공개로 유지됩니다.

게이트웨이 엔드포인트(VPC 내 트래픽)와 인터페이스 엔드포인트(온프레미스 트래픽)는 모두 동일한 VPC에 있으므로 둘 다 VPC 오리진 거부 조건을 충족합니다.

다중 VPC 액세스

사용 사례: 여러 VPCs의 발신자는 동일한 액세스 포인트에 액세스해야 합니다. 예를 들어 동일한 계정 내 별도의 VPCs에 있는 애플리케이션 또는 VPCs 피어링 또는 Transit Gateway를 통해 연결된 다른 계정의 VPC가 있습니다.

정책 기반 제어를 사용할지 VPC 오리진 네트워크 적용을 사용할지에 따라 다중 VPC 액세스에 대한 두 가지 접근 방식이 있습니다.

옵션 1: 각 VPC에 게이트웨이 엔드포인트가 있는 인터넷 오리진

각 VPC에는 자체 Amazon S3 Gateway 엔드포인트가 있습니다. 각 VPC의 발신자는 요청에 채워지는 로컬 게이트웨이 엔드포인트를 통해 액세스 포인트aws:SourceVpc에 액세스합니다. 액세스 포인트 정책은 허용된 VPC IDs.

이 옵션은 각 VPC가 독립적으로 작동하므로 설정하기가 더 간단합니다. VPC 피어링 또는 Transit Gateway가 필요하지 않습니다. VPCs 추가하거나 제거하려면 액세스 포인트 정책을 업데이트합니다.

옵션 2: 중앙 집중식 인터페이스 엔드포인트가 있는 VPC 오리진

VPC 하나는 Amazon S3 인터페이스 엔드포인트를 호스팅하며, 액세스 포인트는 해당 VPC에 바인딩된 VPC 오리진으로 생성됩니다. 다른 VPCs VPC 피어링 또는 Transit Gateway를 통해 Amazon S3 트래픽을 인터페이스 엔드포인트로 라우팅합니다. 모든 요청은 바인딩된 VPC의 엔드포인트를 통해 도착하므로 VPC 오리진 적용을 충족합니다.

이 옵션은 정책 변경을 통해 VPC 오리진 제한을 우회할 수 없으므로 더 강력한 적용을 제공합니다. 그러나 VPC 피어링 또는 Transit Gateway 연결이 필요하며 인터페이스 엔드포인트에는 시간당 및 GB당 요금이 부과됩니다. 인터페이스 엔드포인트에 대한 자세한 내용은 AWS Amazon Simple Storage Service 사용 설명서의 Amazon S3용 PrivateLink를 참조하세요.

네트워크 액세스 문제 해결

Amazon S3 액세스 포인트 요청이 실패하면 오류 메시지에 요청을 거부한 권한 부여 계층이 표시되지 않는 경우가 많습니다. 다음 지침에 따라 일반적인 문제를 진단합니다.

AccessDenied with "리소스 기반 정책에서 명시적 거부"

이 오류는 여러 소스에서 발생할 수 있습니다. 다음 검사를 순서대로 수행합니다.

1: VPC 오리진 거부 확인(VPC 오리진 액세스 포인트만 해당)

액세스 포인트에 VPC 네트워크 오리진이 있는 경우 aws:SourceVpc가 바인딩된 VPC와 일치하지 않는 요청을 효과적으로 거부합니다. 다음을 확인합니다.

2. VPC 엔드포인트 정책 확인

요청이 VPC 엔드포인트를 통과하는 경우 엔드포인트의 정책은 액세스 포인트 리소스에 대한 작업을 허용해야 합니다. 기본 엔드포인트 정책은 모든 리소스에 대한 모든 작업을 허용합니다. 정책의 범위를 지정한 경우 액세스 포인트 ARN이 포함되어 있는지 확인합니다.

3. 액세스 포인트 정책 확인

액세스 포인트 정책이 요청 보안 주체를 허용하는지 확인합니다. 요청과 일치할 수 있는 조건이 있는 거부 문을 확인합니다.

4. 호출자의 IAM 자격 증명 정책 확인

호출자의 IAM 역할 또는 사용자는 액세스 포인트 ARN에서 Amazon S3 작업을 수행할 권한이 있어야 합니다.

5. 서비스 제어 정책(SCPs) 확인

계정이 AWS Organizations 조직의 일부인 경우 액세스 포인트에서 Amazon S3 작업을 거부SCPs가 없는지 확인합니다.

온프레미스 호출자는 AccessDenied를 받지만 VPC 호출자는 성공합니다.

이는 일반적으로 온프레미스 트래픽이 VPC 엔드포인트를 통해 라우팅되지 않음을 의미합니다.

액세스 포인트 정책 조건은 영향을 미치지 않는 것으로 보임