Access Point e proprietà degli oggetti

Le ACL legacy (liste di controllo degli accessi) consentono di concedere l'accesso a livello di oggetto, ma sono antecedenti a IAM e alle policy dei bucket e sono difficili da sottoporre ad audit su larga scala.

Il pericolo maggiore riguarda i caricamenti tra account: un oggetto scritto da un altro account potrebbe essere di proprietà di quell'account, lasciando il proprietario del bucket senza la possibilità di controllarlo.

S3 Object Ownership stabilisce chi è il proprietario degli oggetti caricati. L'impostazione consigliata, Bucket owner enforced, disabilita completamente le ACL e assegna automaticamente al proprietario del bucket la proprietà di ogni oggetto.

Con le ACL disattivate, tutti gli accessi sono regolati in modo chiaro da IAM e dalle policy dei bucket: è molto più semplice comprenderli e sottoporli ad audit.

Quando Object Ownership è impostato su Bucket owner enforced, le ACL non sono più applicabili e non possono concedere alcun accesso.

Questa è ora l'impostazione predefinita per i nuovi bucket e la best practice consigliata da AWS. Elimina con una sola impostazione un'intera categoria di problemi confusi e soggetti a errori relativi alla proprietà tra account.

Immagini che l'account A possieda un bucket, mentre l'account B vi carichi dei log. Con il comportamento precedente delle ACL, B è proprietario di quegli oggetti, quindi A non può leggere o eliminare il contenuto del proprio bucket.

Bucket owner enforced risolve il problema: A diventa automaticamente proprietario di ogni oggetto, indipendentemente da chi lo abbia caricato, ripristinando il pieno controllo del proprietario del bucket.

S3 Access Points sono endpoint di rete denominati associati a un bucket, ciascuno con la propria policy di accesso.

Anziché utilizzare un'unica policy del bucket enorme e difficile da gestire per tutte le applicazioni, crei un access point dedicato per ogni caso d'uso, ciascuno con una policy semplice e circoscritta: in questo modo l'accesso è molto più facile da gestire e sottoporre ad audit.

Una singola policy condivisa del bucket diventa complessa e rischiosa man mano che aumenta il numero di team che lo utilizzano. Gli access point scompongono il problema in tante policy più piccole.

Ogni access point può essere limitato a una VPC, avere nome e autorizzazioni propri e venire revocato indipendentemente: le esigenze di un team non La costringeranno mai ad allentare l'accesso per tutti.

È possibile configurare un access point affinché accetti richieste solo da una specifica VPC (Virtual Private Cloud). In questo modo gli oggetti raggiunti tramite tale access point sono completamente irraggiungibili da Internet pubblico.

È un modo semplice per garantire che i dati sensibili siano accessibili esclusivamente dai workload interni tramite un percorso di rete privato.

Multi-Region Access Points forniscono un singolo endpoint globale che instrada le richieste verso bucket situati in più regioni.

Dal punto di vista della sicurezza, semplificano la gestione delle policy per i dati distribuiti globalmente e offrono il failover automatico, così le applicazioni continuano a funzionare senza dover codificare nei nomi i bucket regionali.

Per condividere dati tra account, combini policy dei bucket, access point e Object Ownership anziché ACL.

Imposti Bucket owner enforced, conceda all'altro account l'accesso tramite una policy circoscritta del bucket o dell'access point e otterrà un accesso tra account verificabile e revocabile, senza la confusione sulla proprietà causata dalle ACL.

Ogni access point dispone di una propria policy dell'access point, valutata insieme alla policy del bucket. La policy del bucket può persino delegare agli access point, concedendo l'accesso esclusivamente tramite essi.

In questo modo può mantenere una policy del bucket semplice e restrittiva, esprimendo al contempo le autorizzazioni per ogni applicazione in policy degli access point piccole e indipendenti, facili da esaminare e revocare.

La moderna gestione degli accessi S3 è chiara: disabiliti le ACL con Bucket owner enforced, governi l'accesso tramite IAM e le policy dei bucket e utilizzi gli access point per mantenere piccole e circoscritte le policy specifiche per applicazione.

Questa combinazione è più sicura e molto più facile da sottoporre ad audit rispetto al precedente modello basato sulle ACL.

Scelga la correzione più semplice ed efficace.

Le ACL legacy causano problemi di proprietà tra account e sono difficili da sottoporre ad audit. Imposti S3 Object Ownership su Bucket owner enforced per disabilitare le ACL e assegnare correttamente la proprietà di ogni oggetto, regolando l'accesso tramite IAM e le policy dei bucket. Utilizzi gli S3 Access Points per fornire a ogni applicazione una policy piccola e circoscritta, eventualmente limitata alla VPC, e i Multi-Region Access Points per i dati globali. Insieme, questi elementi sostituiscono le ACL con un modello di accesso verificabile e basato sui privilegi minimi.