As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá. # Bloquear o acesso público para os snapshots do Amazon EBS Para evitar o compartilhamento público dos snapshots, você pode habilitar o *bloqueio do acesso público aos snapshots*. Depois de habilitar o bloqueio do acesso público aos snapshots em uma região, qualquer tentativa de compartilhar publicamente os snapshots nessa região será automaticamente bloqueada. Isso pode ajudar você a melhorar a segurança dos snapshots e a proteger os dados dos snapshots contra acesso não autorizado ou não intencional. O bloqueio do acesso público aos snapshots pode ser habilitado de um de dois modos: + **Bloquear todos os compartilhamentos**: bloqueia todos os compartilhamentos públicos dos snapshots. Os usuários da conta não podem solicitar novos compartilhamentos públicos. Além disso, os snapshots que já foram compartilhados publicamente são tratados como privados e não estão mais disponíveis publicamente. + **Bloquear novos compartilhamentos**: bloqueia apenas os novos compartilhamentos públicos dos snapshots. Os usuários da conta não podem solicitar novos compartilhamentos públicos. Porém, os snapshots que já foram compartilhados publicamente permanecem disponíveis publicamente. **Considerações** Lembre-se disto quando trabalhar com o bloqueio do acesso público para snapshots. + Bloquear o acesso público aos snapshots não impede o compartilhamento de snapshots privados. + Habilitar o bloqueio do acesso público para snapshots no modo *Bloquear todos os compartilhamentos* não altera as permissões para os snapshots que são compartilhados publicamente. Em vez disso, evitará que esses snapshots fiquem visíveis e acessíveis ao público. Portanto, os atributos desses snapshots continuam indicando que eles são compartilhados publicamente, embora não estejam disponíveis publicamente. Se, posteriormente, você desabilitar o bloqueio do acesso público ou alterar o modo para *bloquear novos compartilhamentos*, esses snapshots voltarão a ficar disponíveis publicamente. + Bloquear o acesso público a snapshots é uma configuração regional. Ela se aplica a todos os snapshots na região em que é habilitada. Você precisa habilitar o bloqueio do acesso público a snapshots em toda região na qual deseja evitar o compartilhamento público dos snapshots. + Bloquear o acesso público é uma configuração no nível da conta. Ela se aplica a todos os usuários da conta, incluindo os usuários administradores. Você não pode habilitar o bloqueio de acesso público aos snapshots no nível da organização. + A configuração de bloqueio de acesso público é feita diretamente na conta ou usando uma política declarativa. O uso de uma política declarativa permite que você aplique a configuração em várias regiões simultaneamente, bem como em várias contas simultaneamente. Quando uma política declarativa está em uso, você não pode modificar a configuração diretamente em uma conta. Este tópico descreve como ajustar a configuração diretamente em uma conta. Para obter informações sobre o uso de políticas declarativas, consulte [Políticas declarativas](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_declarative.html) no *Guia do usuário do AWS Organizations *. + Bloquear o acesso público para instantâneos não impede o compartilhamento público de imagens suportadas pelo EBS AMIs. Se você habilitar o bloqueio de acesso público para instantâneos, os usuários ainda poderão compartilhar publicamente com suporte do EBS AMIs. Se uma AMI baseada no EBS for compartilhada publicamente, os usuários com acesso a essa AMI poderão criar volumes a partir dos snapshots a ela associados. Para evitar o compartilhamento público do seu AMIs, habilite *[bloquear o acesso público para AMIs](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/sharingamis-intro.html#block-public-access-to-amis)*. + O bloqueio do acesso público para instantâneos não é suportado com os instantâneos locais ativados. AWS Outposts **Preços** O bloqueio do acesso público aos snapshots pode ser habilitado sem nenhum custo adicional. **Contents** + [permissões do IAM](block-public-access-snapshots-perms.md) + [Configurar o bloqueio do acesso público](block-public-access-snapshots-enable.md) + [Visualizar a configuração de bloqueio do acesso público](block-public-access-snapshots-view.md) + [Desabilitar o bloqueio de acesso público](block-public-access-snapshots-disable.md) + [Monitorar o bloqueio do acesso público](block-public-access-snapshots-events.md) # Permissões do IAM para bloquear o acesso público para os snapshots do Amazon EBS Por padrão, os usuários não têm permissão para trabalhar com o bloqueio de acesso público aos snapshots. Para permitir que os usuários trabalhem com o bloqueio de acesso público aos snapshots, você deve criar políticas do IAM que concedam permissão para usar ações de API específicas. Depois que as políticas forem criadas, você deverá adicionar as permissões aos seus usuários, grupos ou perfis. Para trabalhar com o bloqueio de snapshots, os usuários precisam das permissões a seguir. + `ec2:EnableSnapshotBlockPublicAccess`: habilitar o bloqueio do acesso público aos snapshots e modificar o modo. + `ec2:DisableSnapshotBlockPublicAccess`: desabilitar o bloqueio do acesso público aos snapshots. + `ec2:GetSnapshotBlockPublicAccessState`: visualizar o bloqueio do acesso público aos snapshots é uma configuração para uma região. A seguir está um exemplo de política do IAM. Se algumas permissões não forem necessárias, você poderá removê-las da política. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [{ "Effect": "Allow", "Action": [ "ec2:EnableSnapshotBlockPublicAccess", "ec2:DisableSnapshotBlockPublicAccess", "ec2:GetSnapshotBlockPublicAccessState" ], "Resource": "*" }] } ``` ------ Para conceder acesso, adicione as permissões aos seus usuários, grupos ou perfis: + Usuários e grupos em Centro de Identidade do AWS IAM: Crie um conjunto de permissões. Siga as instruções em [Criação de um conjunto de permissões](https://docs.aws.amazon.com//singlesignon/latest/userguide/howtocreatepermissionset.html) no *Guia do usuário do Centro de Identidade do AWS IAM *. + Usuários gerenciados no IAM com provedor de identidades: Crie um perfil para a federação de identidades. Siga as instruções em [Criando um perfil para um provedor de identidades de terceiros (federação)](https://docs.aws.amazon.com//IAM/latest/UserGuide/id_roles_create_for-idp.html) no *Guia do Usuário do IAM*. + Usuários do IAM: + Crie um perfil que seu usuário possa assumir. Siga as instruções em [Criação de um perfil para um usuário do IAM](https://docs.aws.amazon.com//IAM/latest/UserGuide/id_roles_create_for-user.html) no *Guia do usuário do IAM*. + (Não recomendado) Vincule uma política diretamente a um usuário ou adicione um usuário a um grupo de usuários. Siga as instruções em [Adição de permissões a um usuário (console)](https://docs.aws.amazon.com//IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console) no *Guia do usuário do IAM*. # Configurar o bloqueio do acesso público para os snapshots do Amazon EBS Habilite o bloqueio do acesso público aos snapshots para evitar o compartilhamento público de snapshots na região. Depois que esse atributo é habilitado, as solicitações para compartilhar publicamente snapshots na região são bloqueadas. **Importante** Habilitar o bloqueio do acesso público para snapshots no modo *Bloquear todos os compartilhamentos* não altera as permissões para os snapshots que são compartilhados publicamente. Em vez disso, evitará que esses snapshots fiquem visíveis e acessíveis ao público. Portanto, os atributos desses snapshots continuam indicando que eles são compartilhados publicamente, embora não estejam disponíveis publicamente. Se, posteriormente, você desabilitar o bloqueio do acesso público ou alterar o modo para *bloquear novos compartilhamentos*, esses snapshots voltarão a ficar disponíveis publicamente. **nota** Essa configuração é definida no nível da conta, diretamente na conta ou usando uma política declarativa. Ele deve ser configurado em cada Região da AWS local em que você deseja impedir o compartilhamento público de instantâneos. O uso de uma política declarativa permite que você aplique a configuração em várias regiões simultaneamente, bem como em várias contas simultaneamente. Quando uma política declarativa está em uso, você não pode modificar a configuração diretamente em uma conta. Este tópico descreve como ajustar a configuração diretamente em uma conta. Para obter informações sobre o uso de políticas declarativas, consulte [Políticas declarativas](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_declarative.html) no *Guia do usuário do AWS Organizations *. ------ #### [ Console ] **Para configurar o bloqueio do acesso público aos snapshots** 1. Abra o console do Amazon EC2 em [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/). 1. No painel de navegação, escolha **Painel do EC2** e depois, em **Atributos da conta** (do lado direito), escolha **Proteção e segurança de dados**. 1. Na seção **Bloquear o acesso público aos snapshots do EBS**, escolha **Gerenciar**. 1. Selecione **Bloquear acesso público** e depois escolha uma das seguintes opções: + **Bloquear todos os compartilhamentos**: para bloquear todos os compartilhamentos públicos dos snapshots. Os usuários da conta não podem solicitar novos compartilhamentos públicos. Além disso, os snapshots que já foram compartilhados publicamente são tratados como privados e não estão mais disponíveis publicamente. + **Bloquear novos compartilhamentos públicos**: para bloquear apenas novos compartilhamentos públicos dos snapshots. Os usuários da conta não podem solicitar novos compartilhamentos públicos. Porém, os snapshots que já foram compartilhados publicamente permanecem disponíveis publicamente. 1. Selecione **Atualizar**. ------ #### [ AWS CLI ] **Para habilitar ou modificar o bloqueio do acesso público aos snapshots** Use o comando [enable-snapshot-block-public-access](https://docs.aws.amazon.com/cli/latest/reference/ec2/enable-snapshot-block-public-access.html). Para `--state`, especifique um dos seguintes valores: + `block-all-sharing`: para bloquear todos os compartilhamentos públicos dos snapshots. Os usuários da conta não podem solicitar novos compartilhamentos públicos. Além disso, os snapshots que já foram compartilhados publicamente são tratados como privados e não estão mais disponíveis publicamente. + `block-new-sharing`: para bloquear apenas novos compartilhamentos públicos dos snapshots. Os usuários da conta não podem solicitar novos compartilhamentos públicos. Porém, os snapshots que já foram compartilhados publicamente permanecem disponíveis publicamente. **Para habilitar ou modificar o bloqueio do acesso público para snapshots em uma região específica** ``` aws ec2 enable-snapshot-block-public-access \ --state block-new-sharing \ --region us-east-1 ``` O seguinte é um exemplo de saída. ``` { "State": "block-new-sharing" } ``` **Para habilitar ou modificar o bloqueio do acesso público para snapshots em todas as regiões** ``` echo -e "Region \t Public Access State" ; \ echo -e "-------------- \t ----------------------" ; \ for region in $( aws ec2 describe-regions \ --region us-east-1 \ --query "Regions[*].[RegionName]" \ --output text ); do (output=$( aws ec2 enable-snapshot-block-public-access \ --region $region \ --state block-new-sharing \ --output text) echo -e "$region \t $output" ); done ``` O seguinte é um exemplo de saída. ``` Region Public Access State -------------- ---------------------- ap-south-1 block-new-sharing eu-north-1 block-new-sharing eu-west-3 block-new-sharing ... ``` ------ #### [ PowerShell ] **Para habilitar ou modificar o bloqueio do acesso público aos snapshots** Use o comando [ da Enable-EC2SnapshotBlockPublicAccess](https://docs.aws.amazon.com/powershell/latest/reference/items/Enable-EC2SnapshotBlockPublicAccess.html). Para `-State`, especifique um dos seguintes valores: + `block-all-sharing`: para bloquear todos os compartilhamentos públicos dos snapshots. Os usuários da conta não podem solicitar novos compartilhamentos públicos. Além disso, os snapshots que já foram compartilhados publicamente são tratados como privados e não estão mais disponíveis publicamente. + `block-new-sharing`: para bloquear apenas novos compartilhamentos públicos dos snapshots. Os usuários da conta não podem solicitar novos compartilhamentos públicos. Porém, os snapshots que já foram compartilhados publicamente permanecem disponíveis publicamente. **Para habilitar ou modificar o bloqueio do acesso público para snapshots em uma região específica** ``` Enable-EC2SnapshotBlockPublicAccess ` -Region us-east-1 ` -State block-new-sharing ``` O seguinte é um exemplo de saída. ``` Value ----- block-new-sharing ``` **Para habilitar ou modificar o bloqueio do acesso público para snapshots em todas as regiões** ``` (Get-EC2Region -Region us-east-1).RegionName | ` ForEach-Object { [PSCustomObject]@{ Region = $_ PublicAccessState = ( Enable-EC2SnapshotBlockPublicAccess ` -Region $_ ` -State block-new-sharing) } } | Format-Table -AutoSize ``` O seguinte é um exemplo de saída. ``` Region PublicAccessState ------ ----------------- ap-south-1 block-new-sharing eu-north-1 block-new-sharing eu-west-3 block-new-sharing ... ``` ------ # Visualizar a configuração de bloqueio do acesso público aos snapshots do Amazon EBS O bloqueio do acesso público pode estar em um dos seguintes estados para cada região da sua conta. + **Bloquear todos os compartilhamentos**: todos os compartilhamentos públicos dos snapshots são bloqueados. Os usuários da conta não podem solicitar novos compartilhamentos públicos. Além disso, os snapshots que já foram compartilhados publicamente são tratados como privados e não estão mais disponíveis publicamente. + **Bloquear novos compartilhamentos**: somente novos compartilhamentos públicos dos snapshots são bloqueados. Os usuários da conta não podem solicitar novos compartilhamentos públicos. Porém, os snapshots que já foram compartilhados publicamente permanecem disponíveis publicamente. + **Desbloqueado**: o compartilhamento público não é bloqueado. Os usuários podem compartilhar snapshots publicamente. ------ #### [ Console ] **Para visualizar a configuração de bloqueio do acesso público aos snapshots** 1. Abra o console do Amazon EC2 em [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/). 1. No painel de navegação, escolha **Painel do EC2** e depois, em **Atributos da conta** (do lado direito), escolha **Proteção e segurança de dados**. 1. A seção **Bloquear o acesso público aos snapshots do EBS** mostra a configuração atual. ------ #### [ AWS CLI ] **Para visualizar a configuração de bloqueio do acesso público aos snapshots** Use o comando [get-snapshot-block-public-access-state](https://docs.aws.amazon.com/cli/latest/reference/ec2/get-snapshot-block-public-access-state.html). + Para uma região específica ``` aws ec2 get-snapshot-block-public-access-state ``` Neste exemplo de saída, o campo `ManagedBy` indica a entidade que definiu a configuração e `account` indica que a configuração foi definida diretamente na conta. Um valor de `declarative-policy` significaria que a configuração foi definida por uma política declarativa. Para obter mais informações, consulte [Políticas declarativas](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_declarative.html) no *Guia do Usuário do AWS Organizations *. ``` { "State": "unblocked", "ManagedBy": "account" } ``` + Para todas as regiões ``` echo -e "Region \t Public Access State" ; \ echo -e "-------------- \t ----------------------" ; \ for region in $( aws ec2 describe-regions \ --region us-east-1 \ --query "Regions[*].[RegionName]" \ --output text ); do (output=$( aws ec2 get-snapshot-block-public-access-state \ --region $region \ --output text) echo -e "$region \t $output" ); done ``` O seguinte é um exemplo de saída. ``` Region Public Access State -------------- ---------------------- ap-south-1 unblocked eu-north-1 unblocked eu-west-3 unblocked ``` ------ #### [ PowerShell ] **Para visualizar a configuração de bloqueio do acesso público aos snapshots** Use o [Get-EC2SnapshotBlockPublicAccessState](https://docs.aws.amazon.com/powershell/latest/reference/items/Get-EC2SnapshotBlockPublicAccessState.html)cmdlet. + Para uma região específica ``` Get-EC2SnapshotBlockPublicAccessState -Region us-east-1 ``` O seguinte é um exemplo de saída. ``` Value ----- block-new-sharing ``` + Para todas as regiões ``` (Get-EC2Region -Region us-east-1).RegionName | ` ForEach-Object { [PSCustomObject]@{ Region = $_ PublicAccessState = (Get-EC2SnapshotBlockPublicAccessState -Region $_) } } | Format-Table -AutoSize ``` O seguinte é um exemplo de saída. ``` Region Public Access State -------------- ---------------------- ap-south-1 unblocked eu-north-1 unblocked eu-west-3 unblocked ... ``` ------ # Desabilitar o bloqueio do acesso público para os snapshots do Amazon EBS Desabilite bloqueio do acesso público aos snapshots para permitir o compartilhamento público dos snapshots na região. Depois que esse atributo é desabilitado, os usuários podem compartilhar publicamente os snapshots na região. **Importante** Habilitar o bloqueio do acesso público para snapshots no modo *Bloquear todos os compartilhamentos* não altera as permissões para os snapshots que são compartilhados publicamente. Em vez disso, evitará que esses snapshots fiquem visíveis e acessíveis ao público. Portanto, os atributos desses snapshots continuam indicando que eles são compartilhados publicamente, embora não estejam disponíveis publicamente. Se o bloqueio do acesso público for desabilitado, esses snapshots voltarão a ficar disponíveis publicamente. **nota** Essa configuração é definida no nível da conta, diretamente na conta ou usando uma política declarativa. Ele deve ser configurado em cada Região da AWS local em que você deseja permitir o compartilhamento público de instantâneos. O uso de uma política declarativa permite que você aplique a configuração em várias regiões simultaneamente, bem como em várias contas simultaneamente. Quando uma política declarativa está em uso, você não pode modificar a configuração diretamente em uma conta. Este tópico descreve como ajustar a configuração diretamente em uma conta. Para obter informações sobre o uso de políticas declarativas, consulte [Políticas declarativas](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_declarative.html) no *Guia do usuário do AWS Organizations *. ------ #### [ Console ] **Desabilitar o bloqueio do acesso público aos snapshots** 1. Abra o console do Amazon EC2 em [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/). 1. No painel de navegação, escolha **Painel do EC2** e depois, em **Atributos da conta** (do lado direito), escolha **Proteção e segurança de dados**. 1. Na seção **Bloquear o acesso público aos snapshots do EBS**, escolha **Gerenciar**. 1. Desmarque **Bloquear o acesso público** e selecione **Salvar**. ------ #### [ AWS CLI ] **Para desabilitar o bloqueio do acesso público aos snapshots** Use o comando [disable-snapshot-block-public-access](https://docs.aws.amazon.com/cli/latest/reference/ec2/disable-snapshot-block-public-access.html). + Para uma região específica ``` aws ec2 disable-snapshot-block-public-access --region us-east-1 ``` O seguinte é um exemplo de saída. ``` { "State": "unblocked" } ``` + Para todas as regiões ``` echo -e "Region \t Public Access State" ; \ echo -e "-------------- \t ----------------------" ; \ for region in $( aws ec2 describe-regions \ --region us-east-1 \ --query "Regions[*].[RegionName]" \ --output text ); do (output=$( aws ec2 disable-snapshot-block-public-access \ --region $region \ --output text) echo -e "$region \t $output" ); done ``` O seguinte é um exemplo de saída. ``` Region Public Access State -------------- ---------------------- ap-south-1 unblocked eu-north-1 unblocked eu-west-3 unblocked ``` ------ #### [ PowerShell ] **Desabilitar o bloqueio do acesso público aos snapshots** Use o [Disable-EC2SnapshotBlockPublicAccess](https://docs.aws.amazon.com/powershell/latest/reference/items/Disable-EC2SnapshotBlockPublicAccess.html)cmdlet. + Para uma região específica ``` Disable-EC2SnapshotBlockPublicAccess -Region us-east-1 ``` O seguinte é um exemplo de saída. ``` Value ----- unblocked ``` + Para todas as regiões ``` (Get-EC2Region -Region us-east-1).RegionName | ` ForEach-Object { [PSCustomObject]@{ Region = $_ PublicAccessState = (Disable-EC2SnapshotBlockPublicAccess -Region $_) } } | ` Format-Table -AutoSize ``` O seguinte é um exemplo de saída. ``` Region PublicAccessState ------ ----------------- ap-south-1 unblocked eu-north-1 unblocked eu-west-3 unblocked ... ``` ------ # Monitore e bloqueie o acesso público para snapshots do Amazon EBS usando EventBridge O Amazon EBS emite eventos relacionados ao bloqueio do acesso público aos snapshots. Você pode usar AWS Lambda a Amazon EventBridge para gerenciar notificações de eventos de forma programática. Os eventos são emitidos com base no melhor esforço. Para obter mais informações, consulte o [Guia EventBridge do usuário da Amazon](https://docs.aws.amazon.com/eventbridge/latest/userguide/eb-what-is.html). Os seguintes eventos são emitidos: + Habilitar o bloqueio do acesso público aos snapshots no modo de bloquear todos os compartilhamentos públicos ``` { "version": "0", "id": "01234567-0123-0123-0123-012345678901", "detail-type": "EBS Snapshot Block Public Access Enabled", "source": "aws.ec2", "account": "123456789012", "time": "2019-05-31T21:49:54Z", "region": "us-east-1", "detail": { "SnapshotBlockPublicAccessState": "block-all-sharing", "message": "Block Public Access was successfully enabled in 'block-all-sharing' mode" } } ``` + Habilitar o bloqueio do acesso público aos snapshots no modo de bloquear novos compartilhamentos ``` { "version": "0", "id": "01234567-0123-0123-0123-012345678901", "detail-type": "EBS Snapshot Block Public Access Enabled", "source": "aws.ec2", "account": "123456789012", "time": "2019-05-31T21:49:54Z", "region": "us-east-1", "detail": { "SnapshotBlockPublicAccessState": "block-new-sharing", "message": "Block Public Access was successfully enabled in 'block-new-sharing' mode" } } ``` + Desabilitar o bloqueio do acesso público aos snapshots ``` { "version": "0", "id": "01234567-0123-0123-0123-012345678901", "detail-type": "EBS Snapshot Block Public Access Disabled", "source": "aws.ec2", "account": "123456789012", "time": "2019-05-31T21:49:54Z", "region": "us-east-1", "detail": { "SnapshotBlockPublicAccessState": "unblocked", "message": "Block Public Access was successfully disabled" } } ```