Permissões

Os pontos de acesso multirregionais do Amazon S3 podem simplificar o acesso a dados para buckets do Amazon S3 em várias Regiões da AWS. Os pontos de acesso multirregionais são endpoints globais que você pode usar para realizar operações de objeto de acesso a dados no Amazon S3, como GetObject e PutObject. Cada ponto de acesso multirregional pode ter permissões e controles de rede distintos para todas as solicitações feitas por meio do endpoint global.

Cada ponto de acesso multirregional também pode impor uma política de acesso personalizada que funciona em conjunto com a política de bucket anexada ao bucket subjacente. Para que uma solicitação entre contas seja bem-sucedida, as seguintes políticas devem permitir a operação:

Você pode configurar qualquer política de ponto de acesso multirregional para aceitar solicitações somente de usuários ou grupos específicos do IAM. Para obter um exemplo de como fazer isso, consulte o Exemplo 2 em Exemplos de políticas de pontos de acesso multirregionais. Você pode configurar a política de ponto de acesso multirregional para aceitar solicitações somente de uma nuvem privada virtual (VPC) para restringir o acesso a dados do Amazon S3 a uma rede privada.

Por exemplo, suponha que você faça uma solicitação de GetObject por meio de um ponto de acesso multirregional usando um usuário chamado AppDataReader em sua conta da AWS. Para ajudar a garantir que a solicitação não será negada, o usuário AppDataReader deve receber a permissão s3:GetObject do ponto de acesso multirregional e de cada bucket subjacente ao ponto de acesso multirregional. O AppDataReader não será capaz de recuperar dados de todo bucket que não conceder essa permissão.

Como gerenciar o acesso público a um ponto de acesso multirregional

Os pontos de acesso multirregionais oferecem suporte a configurações de bloqueio de acesso público para cada ponto de acesso multirregional. Ao criar um ponto de acesso multirregional, você pode especificar configurações do bloqueio de acesso público que se aplicam a esse ponto de acesso multirregional.

Para qualquer solicitação feita por meio de um ponto de acesso multirregional, o Amazon S3 avaliará as configurações de Bloqueio de Acesso Público para:

Se qualquer uma dessas configurações indicar que a solicitação deve ser bloqueada, o Amazon S3 rejeitará a solicitação. Para obter mais informações sobre o recurso de bloqueio de acesso público do Amazon S3, consulte Bloquear o acesso público ao armazenamento do Amazon S3.

Visualizar configurações de Bloqueio de Acesso Público para um ponto de acesso multirregional

Como usar uma política de ponto de acesso multirregional

O exemplo de política de ponto de acesso multirregional a seguir concede a um usuário do IAM acesso para listar e baixar arquivos do ponto de acesso multirregional. Para usar esse exemplo de política, substitua os user input placeholders por suas próprias informações.

 {
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Principal":{
            "AWS":"arn:aws:iam::123456789012:user/JohnDoe" 
         },
         "Action":[
            "s3:ListBucket",
            "s3:GetObject"
         ],
         "Resource":[
            "arn:aws:s3::111122223333:accesspoint/MultiRegionAccessPoint_alias",
            "arn:aws:s3::111122223333:accesspoint/MultiRegionAccessPoint_alias/object/*"
         ]
      }
   ]
}

Para associar sua política de ponto de acesso multirregional ao ponto de acesso multirregional especificado usando a AWS Command Line Interface (AWS CLI), use o comando put-multi-region-access-point-policy a seguir. Para usar esse exemplo de comando, substitua os user input placeholders por suas próprias informações. Cada ponto de acesso multirregional pode ter somente uma política, portanto uma solicitação feita para a ação put-multi-region-access-point-policy substitui qualquer política existente associada ao ponto de acesso multirregional especificado.

Para consultar os resultados da operação anterior, use o seguinte comando:

Para recuperar sua política de ponto de acesso multirregional, use o seguinte comando:

Editar a política de ponto de acesso multirregional

A política de ponto de acesso multirregional (escrita em JSON) fornece acesso de armazenamento aos buckets do Amazon S3 que são usados com esse ponto de acesso multirregional. Você pode permitir ou negar que entidades principais específicas realizem várias ações em seu ponto de acesso multirregional. Quando uma solicitação é roteada para um bucket por meio do ponto de acesso multirregional, as políticas de acesso tanto do ponto de acesso multirregional como do bucket se aplicam. A política de acesso mais restritiva sempre tem precedência.

Depois que você aplicar uma política de ponto de acesso multirregional, esta política não poderá ser excluída. Você poderá editar a política ou criar uma política que substitua a existente.

Exemplos de políticas de pontos de acesso multirregionais

Os pontos de acesso multirregionais do Amazon S3 são compatíveis com políticas de recursos do AWS Identity and Access Management (IAM). Você pode usar essas políticas para controlar o uso do ponto de acesso multirregional por recurso, usuário ou outras condições. Para que uma aplicação ou um usuário possa acessar objetos por meio de um ponto de acesso multirregional, tanto o ponto de acesso multirregional quanto o bucket subjacente devem permitir o mesmo acesso.

Para permitir o mesmo acesso ao ponto de acesso multirregional e ao bucket subjacente, faça o seguinte:

{
    "Version": "2012-10-17",
    "Statement" : [
    {
        "Effect": "Allow",
        "Principal" : { "AWS": "*" },
        "Action" : "*",
        "Resource" : [ "Bucket ARN", "Bucket ARN/*"],
        "Condition": {
            "StringEquals" : { "s3:DataAccessPointArn" : "MultiRegionAccessPoint_ARN" }
        }
    }]
}

{
  "Version":"2012-10-17",
  "Statement": [
    {
       "Effect": "Allow",
       "Principal": {
          "AWS":"arn:aws:iam::123456789012:user/JohnDoe"
       },
       "Action":[
          "s3:ListBucket",
          "s3:GetObject"
       ],
       "Resource":[ 
          "MultiRegionAccessPoint_ARN",
          "MultiRegionAccessPoint_ARN/object/*"
       ]
     }
  ]
}

{
   "Version":"2012-10-17",
   "Statement": [
      {
       "Effect": "Allow",
       "Principal": {
        "AWS": "arn:aws:iam::123456789012:user/JohnDoe"
        },
        "Action": "s3:ListBucket",
        "Resource": "MultiRegionAccessPoint_ARN"
       }
    ]
}