Titik Akses dan Pemilikan Objek

ACL legasi (senarai kawalan akses) membolehkan anda memberikan akses pada peringkat objek, tetapi ia wujud sebelum IAM dan dasar baldi serta sukar diaudit pada skala besar.

Bahaya terbesar ialah muat naik merentas akaun: objek yang ditulis oleh akaun lain mungkin dimiliki oleh akaun tersebut, menyebabkan pemilik baldi tidak dapat mengawalnya.

Pemilikan Objek S3 menetapkan pihak yang memiliki objek yang dimuat naik. Tetapan yang disyorkan, Bucket owner enforced, menyahdayakan ACL sepenuhnya dan menjadikan pemilik baldi memiliki setiap objek secara automatik.

Apabila ACL dimatikan, semua akses ditadbir dengan jelas melalui IAM dan dasar baldi — jauh lebih mudah difahami dan diaudit.

Apabila Pemilikan Objek ditetapkan kepada Bucket owner enforced, ACL tidak lagi terpakai dan langsung tidak boleh memberikan akses.

Ini kini merupakan tetapan lalai bagi baldi baharu dan amalan terbaik yang disyorkan AWS. Dengan satu tetapan, ia menghapuskan seluruh kelas masalah pemilikan merentas akaun yang mengelirukan dan mudah menimbulkan ralat.

Bayangkan akaun A memiliki sebuah baldi, tetapi akaun B memuat naik log ke dalamnya. Di bawah tingkah laku ACL lama, B memiliki objek tersebut, jadi A tidak dapat membaca atau memadam kandungan balinya sendiri.

Bucket owner enforced membetulkan keadaan ini: A memiliki setiap objek secara automatik tanpa mengira pihak yang memuat naiknya, lalu mengembalikan kawalan penuh kepada pemilik baldi.

Titik Akses S3 ialah titik akhir rangkaian bernama yang dilampirkan pada baldi, dan setiap satunya mempunyai dasar akses sendiri.

Daripada menggunakan satu dasar baldi besar dan berserabut untuk semua aplikasi, anda mencipta satu titik akses khusus bagi setiap kes penggunaan — setiap satunya dengan dasar yang ringkas dan berskop — menjadikan akses jauh lebih mudah diurus dan diaudit.

Satu dasar baldi yang dikongsi menjadi semakin kompleks dan berisiko apabila lebih banyak pasukan menggunakan baldi tersebut. Titik akses memecahkannya kepada banyak dasar kecil.

Setiap titik akses boleh dihadkan kepada VPC, diberikan nama dan keizinannya sendiri, serta ditarik balik secara berasingan — maka keperluan satu pasukan tidak pernah memaksa anda melonggarkan akses untuk semua orang.

Titik akses boleh ditetapkan untuk menerima permintaan hanya daripada VPC (Virtual Private Cloud) tertentu. Dengan itu, objek yang dicapai melaluinya langsung tidak boleh dicapai dari internet awam.

Ini ialah cara yang jelas untuk memastikan data sensitif hanya dicapai oleh beban kerja dalaman anda melalui laluan rangkaian persendirian.

Titik Akses Berbilang Wilayah memberikan anda satu titik akhir global yang menghalakan permintaan ke baldi di beberapa wilayah.

Dari sudut keselamatan, titik ini memudahkan pengurusan dasar bagi data yang diedarkan secara global dan menyediakan pertukaran gagal automatik, supaya aplikasi terus berfungsi tanpa menetapkan nama baldi wilayah secara tetap dalam kod.

Untuk perkongsian merentas akaun, gabungkan dasar baldi, titik akses dan Pemilikan Objek, bukannya ACL.

Tetapkan Bucket owner enforced, berikan akses kepada akaun lain melalui dasar baldi atau titik akses berskop, dan anda akan mendapat akses merentas akaun yang boleh diaudit serta ditarik balik tanpa kekeliruan pemilikan yang disebabkan oleh ACL.

Setiap titik akses mempunyai dasar titik akses sendiri, yang dinilai bersama dasar baldi. Dasar baldi juga boleh mewakilkan akses kepada titik akses, lalu memberikan akses hanya melaluinya.

Ini membolehkan anda mengekalkan satu dasar baldi yang ringkas dan ketat, sambil menyatakan keizinan setiap aplikasi dalam dasar titik akses yang kecil dan berasingan, yang mudah disemak serta ditarik balik.

Pendekatan akses S3 moden adalah jelas: nyahdayakan ACL dengan Bucket owner enforced, tadbir akses melalui IAM dan dasar baldi, serta gunakan titik akses untuk memastikan dasar bagi setiap aplikasi kekal kecil dan berskop.

Gabungan ini lebih selamat dan jauh lebih mudah diaudit berbanding dunia ACL lama.

ACL legasi menyebabkan masalah pemilikan merentas akaun dan sukar diaudit. Tetapkan Pemilikan Objek S3 kepada Bucket owner enforced untuk menyahdayakan ACL dan memiliki setiap objek dengan jelas, sambil mentadbir akses melalui IAM dan dasar baldi. Gunakan Titik Akses S3 untuk memberikan setiap aplikasi dasar yang kecil, berskop dan, jika perlu, terhad kepada VPC, serta gunakan Titik Akses Berbilang Wilayah untuk data global. Bersama-sama, semua ini menggantikan ACL dengan model akses yang boleh diaudit dan berkeistimewaan minimum.