Punkty dostępu i własność obiektów

Starsze listy ACL (listy kontroli dostępu) pozwalają przyznawać dostęp na poziomie obiektów, ale powstały przed IAM i zasadami zasobników, a ich audytowanie na dużą skalę jest trudne.

Największe zagrożenie stanowią przesyłane dane z innych kont: obiekt zapisany przez inne konto może należeć do tego konta, przez co właściciel zasobnika nie będzie mógł nim zarządzać.

S3 Object Ownership rozstrzyga, kto jest właścicielem przesłanych obiektów. Zalecane ustawienie Bucket owner enforced całkowicie wyłącza listy ACL i sprawia, że właściciel zasobnika automatycznie staje się właścicielem każdego obiektu.

Po wyłączeniu list ACL cały dostęp jest przejrzyście kontrolowany przez IAM i zasady zasobników — znacznie łatwiej go analizować i audytować.

Gdy dla Object Ownership ustawiono Bucket owner enforced, listy ACL przestają obowiązywać i nie mogą w żaden sposób przyznawać dostępu.

Jest to obecnie ustawienie domyślne dla nowych zasobników i najlepsza praktyka zalecana przez AWS. Jedno ustawienie eliminuje całą klasę mylących i podatnych na błędy problemów z własnością obiektów przesyłanych między kontami.

Wyobraźmy sobie, że konto A jest właścicielem zasobnika, a konto B przesyła do niego dzienniki. Przy starym sposobie działania list ACL konto B jest właścicielem tych obiektów, więc konto A nie może odczytać ani usunąć zawartości własnego zasobnika.

Bucket owner enforced rozwiązuje ten problem: konto A automatycznie staje się właścicielem każdego obiektu, niezależnie od tego, kto go przesłał, odzyskując pełną kontrolę właściciela zasobnika.

S3 Access Points to nazwane punkty końcowe sieci dołączone do zasobnika, z których każdy ma własną zasadę dostępu.

Zamiast jednej ogromnej i skomplikowanej zasady zasobnika obsługującej każdą aplikację, można utworzyć osobny punkt dostępu dla każdego przypadku użycia — każdy z prostą zasadą o ograniczonym zakresie — dzięki czemu zarządzanie dostępem i jego audytowanie są znacznie łatwiejsze.

Pojedyncza współdzielona zasada zasobnika staje się coraz bardziej złożona i ryzykowna, gdy z zasobnika korzysta więcej zespołów. Punkty dostępu rozbijają ją na wiele małych zasad.

Każdy punkt dostępu można ograniczyć do VPC, nadać mu własną nazwę i uprawnienia oraz niezależnie wycofać — dzięki temu potrzeby jednego zespołu nigdy nie zmuszają Państwa do poluzowania dostępu dla wszystkich.

Punkt dostępu można skonfigurować tak, aby akceptował żądania wyłącznie z określonej VPC (Virtual Private Cloud). Wówczas obiekty dostępne za jego pośrednictwem są całkowicie nieosiągalne z publicznego Internetu.

To przejrzysty sposób na zapewnienie, że do poufnych danych mają dostęp wyłącznie wewnętrzne obciążenia za pośrednictwem prywatnej ścieżki sieciowej.

Multi-Region Access Points zapewniają jeden globalny punkt końcowy, który kieruje ruch do zasobników w wielu regionach.

Z punktu widzenia bezpieczeństwa upraszczają zarządzanie zasadami dla danych rozproszonych globalnie i zapewniają automatyczne przełączanie awaryjne, dzięki czemu aplikacje działają bez konieczności wpisywania na stałe nazw zasobników regionalnych.

W przypadku udostępniania między kontami należy łączyć zasady zasobników, punkty dostępu i Object Ownership zamiast list ACL.

Należy ustawić Bucket owner enforced, przyznać drugiemu kontu dostęp za pomocą zasady zasobnika lub punktu dostępu o ograniczonym zakresie, aby uzyskać możliwy do audytowania i odwołania dostęp między kontami bez problemów z własnością powodowanych przez listy ACL.

Każdy punkt dostępu ma własną zasadę punktu dostępu, ocenianą równolegle z zasadą zasobnika. Zasada zasobnika może nawet delegować uprawnienia do punktów dostępu, przyznając dostęp wyłącznie za ich pośrednictwem.

Pozwala to zachować jedną prostą i restrykcyjną zasadę zasobnika, a uprawnienia poszczególnych aplikacji definiować w małych, niezależnych zasadach punktów dostępu, które łatwo przeglądać i wycofywać.

Nowoczesny model dostępu do S3 jest przejrzysty: należy wyłączyć listy ACL za pomocą Bucket owner enforced, zarządzać dostępem przez IAM i zasady zasobników oraz używać punktów dostępu, aby zasady poszczególnych aplikacji były małe i ograniczone do niezbędnego zakresu.

Takie połączenie jest bezpieczniejsze i znacznie łatwiejsze do audytowania niż dawny model oparty na listach ACL.

Proszę wybrać najczystsze rozwiązanie.

Starsze listy ACL powodują problemy z własnością obiektów między kontami i są trudne do audytowania. Należy ustawić S3 Object Ownership na Bucket owner enforced, aby wyłączyć listy ACL i zapewnić przejrzystą własność każdego obiektu, a następnie zarządzać dostępem przez IAM i zasady zasobników. Należy używać S3 Access Points, aby nadać każdej aplikacji małą zasadę o ograniczonym zakresie, opcjonalnie ograniczoną do VPC, oraz Multi-Region Access Points dla danych globalnych. Razem zastępują one listy ACL możliwym do audytowania modelem dostępu zgodnym z zasadą najmniejszych uprawnień.