Puntos de acceso y propiedad de objetos

Las ACL heredadas (listas de control de acceso) permiten conceder acceso a nivel de objeto, pero son anteriores a IAM y a las políticas de bucket, y resultan difíciles de auditar a escala.

El mayor peligro son las cargas entre cuentas: un objeto escrito por otra cuenta podría pertenecer a esa cuenta, dejando al propietario del bucket sin control sobre él.

S3 Object Ownership determina quién es el propietario de los objetos cargados. Su configuración recomendada, Bucket owner enforced, deshabilita por completo las ACL y hace que el propietario del bucket sea automáticamente el propietario de todos los objetos.

Con las ACL desactivadas, todo el acceso se controla claramente mediante IAM y las políticas de bucket, lo que facilita mucho su comprensión y auditoría.

Cuando Object Ownership está configurado como Bucket owner enforced, las ACL dejan de aplicarse y ya no pueden conceder acceso.

Esta es ahora la configuración predeterminada para los buckets nuevos y la práctica recomendada por AWS. Elimina de una vez toda una categoría de problemas confusos y propensos a errores relacionados con la propiedad entre cuentas.

Imagine que la cuenta A es propietaria de un bucket, pero la cuenta B carga registros en él. Con el comportamiento antiguo de las ACL, B es propietaria de esos objetos, por lo que A no puede leer ni eliminar el contenido de su propio bucket.

Bucket owner enforced soluciona esto: A pasa a ser automáticamente propietaria de todos los objetos, independientemente de quién los haya cargado, y el propietario del bucket recupera el control total.

Los S3 Access Points son endpoints de red con nombre asociados a un bucket, cada uno con su propia política de acceso.

En lugar de mantener una única política de bucket enorme y compleja para todas las aplicaciones, puede crear un punto de acceso específico para cada caso de uso, con una política sencilla y limitada, lo que facilita mucho la administración y auditoría del acceso.

Una única política de bucket compartida se vuelve compleja y arriesgada a medida que más equipos utilizan el bucket. Los puntos de acceso descomponen esa política en muchas políticas pequeñas.

Cada punto de acceso puede restringirse a una VPC, tener su propio nombre y permisos, y revocarse de forma independiente, de modo que las necesidades de un equipo nunca le obliguen a flexibilizar el acceso para todos.

Puede configurar un punto de acceso para que acepte solicitudes únicamente desde una VPC (nube virtual privada) específica. De este modo, los objetos a los que se accede mediante él quedan completamente inaccesibles desde Internet pública.

Es una forma clara de garantizar que los datos confidenciales solo sean accesibles para sus cargas de trabajo internas a través de una ruta de red privada.

Los Multi-Region Access Points le proporcionan un único endpoint global que dirige las solicitudes a buckets de varias regiones.

Desde el punto de vista de la seguridad, simplifican la administración de políticas para datos distribuidos globalmente y ofrecen conmutación por error automática, de modo que las aplicaciones sigan funcionando sin tener que codificar los nombres de los buckets regionales.

Para compartir datos entre cuentas, combine políticas de bucket, puntos de acceso y Object Ownership en lugar de ACL.

Configure Bucket owner enforced, conceda acceso a la otra cuenta mediante una política de bucket o de punto de acceso limitada, y obtendrá un acceso entre cuentas auditable y revocable, sin la confusión de propiedad que provocan las ACL.

Cada punto de acceso tiene su propia access point policy, que se evalúa junto con la política de bucket. La política de bucket incluso puede delegar en puntos de acceso y conceder acceso únicamente a través de ellos.

Esto le permite mantener una política de bucket sencilla y restrictiva, mientras expresa los permisos específicos de cada aplicación en políticas de puntos de acceso pequeñas e independientes, fáciles de revisar y revocar.

La estrategia moderna de acceso a S3 es clara: deshabilite las ACL mediante Bucket owner enforced, gestione el acceso con IAM y políticas de bucket, y use access points para mantener pequeñas y limitadas las políticas específicas de cada aplicación.

Esta combinación es más segura y mucho más fácil de auditar que el antiguo modelo basado en ACL.

Elija la solución más sencilla y eficaz.

Las ACL heredadas provocan problemas de propiedad entre cuentas y son difíciles de auditar. Configure Object Ownership de S3 como Bucket owner enforced para deshabilitar las ACL y asumir claramente la propiedad de todos los objetos, gestionando el acceso mediante IAM y políticas de bucket. Use S3 Access Points para proporcionar a cada aplicación una política pequeña y limitada, opcionalmente restringida a una VPC, y Multi-Region Access Points para datos globales. En conjunto, sustituyen las ACL por un modelo de acceso auditable basado en el mínimo privilegio.