Pontos de Acesso e Propriedade de Objetos

As ACLs legadas (listas de controle de acesso) permitem conceder acesso no nível do objeto, mas são anteriores ao IAM e às políticas de bucket e são difíceis de auditar em grande escala.

O maior perigo são os uploads entre contas: um objeto gravado por outra conta poderia pertencer a essa conta, deixando o proprietário do bucket sem condições de controlá-lo.

S3 Object Ownership define quem é o proprietário dos objetos enviados. Sua configuração recomendada, Bucket owner enforced, desativa as ACLs completamente e faz com que o proprietário do bucket seja automaticamente o proprietário de todos os objetos.

Com as ACLs desativadas, todo o acesso é controlado de forma clara pelo IAM e pelas políticas de bucket — o que facilita muito a compreensão e a auditoria.

Quando a propriedade de objetos está definida como Bucket owner enforced, as ACLs deixam de se aplicar e não podem conceder acesso de forma alguma.

Essa é agora a configuração padrão para buckets novos e a prática recomendada pela AWS. Ela elimina, com uma única configuração, toda uma categoria de problemas confusos e propensos a erros relacionados à propriedade entre contas.

Imagine que a conta A seja proprietária de um bucket, mas a conta B envie registros para ele. Com o comportamento antigo das ACLs, B é proprietária desses objetos; portanto, A não pode ler nem excluir o conteúdo de seu próprio bucket.

Bucket owner enforced resolve isso: A passa a ser automaticamente proprietária de todos os objetos, independentemente de quem os enviou, restaurando o controle total ao proprietário do bucket.

Os S3 Access Points são endpoints de rede nomeados associados a um bucket, cada um com sua própria política de acesso.

Em vez de uma única política de bucket enorme e complicada atendendo a todos os aplicativos, você cria um ponto de acesso dedicado para cada caso de uso — cada um com uma política simples e com escopo definido — tornando o acesso muito mais fácil de gerenciar e auditar.

Uma única política de bucket compartilhada se torna complexa e arriscada à medida que mais equipes usam o bucket. Os pontos de acesso dividem essa política em várias políticas pequenas.

Cada ponto de acesso pode ser restrito a uma VPC, receber seu próprio nome e permissões e ser revogado de forma independente — assim, as necessidades de uma equipe nunca obrigam você a liberar o acesso para todos.

Um ponto de acesso pode ser configurado para aceitar solicitações somente de uma VPC (Nuvem Privada Virtual) específica. Assim, os objetos acessados por ele ficam totalmente inalcançáveis pela internet pública.

Essa é uma forma clara de garantir que dados confidenciais sejam acessados somente por suas cargas de trabalho internas por meio de uma rede privada.

Os Multi-Region Access Points fornecem um único endpoint global que encaminha solicitações para buckets em várias regiões.

Do ponto de vista da segurança, eles simplificam o gerenciamento de políticas para dados distribuídos globalmente e fornecem failover automático, para que os aplicativos continuem funcionando sem precisar codificar nomes de buckets regionais.

Para compartilhar recursos entre contas, combine políticas de bucket, pontos de acesso e propriedade de objetos em vez de ACLs.

Defina Bucket owner enforced, conceda acesso à outra conta por meio de uma política de bucket ou de ponto de acesso com escopo definido e obtenha acesso entre contas auditável e revogável, sem a confusão de propriedade causada pelas ACLs.

Cada ponto de acesso tem sua própria política de ponto de acesso, avaliada juntamente com a política de bucket. A política de bucket pode até delegar aos pontos de acesso, concedendo acesso somente por meio deles.

Isso permite manter uma política de bucket simples e restritiva, enquanto você expressa as permissões de cada aplicativo em políticas de pontos de acesso pequenas e independentes, fáceis de revisar e revogar.

A configuração moderna de acesso ao S3 é clara: desative as ACLs com Bucket owner enforced, controle o acesso por meio do IAM e das políticas de bucket e use pontos de acesso para manter pequenas e com escopo definido as políticas de cada aplicativo.

Essa combinação é mais segura e muito mais fácil de auditar do que o antigo modelo baseado em ACLs.

Escolha a correção mais simples e eficaz.

As ACLs legadas causam problemas de propriedade entre contas e são difíceis de auditar. Defina S3 Object Ownership como Bucket owner enforced para desativar as ACLs e garantir a propriedade de todos os objetos, controlando o acesso por meio do IAM e das políticas de bucket. Use os S3 Access Points para fornecer a cada aplicativo uma política pequena, com escopo definido e, opcionalmente, restrita a uma VPC, e use Multi-Region Access Points para dados globais. Juntos, esses recursos substituem as ACLs por um modelo de acesso auditável e baseado no privilégio mínimo.