0Pricing
AWS for Backend Developers (EC2, S3, RDS, Lambda) · Урок

Защита доступа к данным S3

Настройте контроль доступа к бакетам и объектам S3 с помощью политик бакетов, ACL и предварительно подписанных URL.

«Защита доступа к данным S3» — бесплатный урок AWS for Backend Developers (EC2, S3, RDS, Lambda) на CoddyKit. Это урок 3 из 4. Ты можешь прочитать весь урок бесплатно ниже — а потом практиковать его прямо в браузере с встроенным редактором кода и ИИ-репетитором 24/7. Это часть пути обучения AWS for Backend Developers (EC2, S3, RDS, Lambda), и твой прогресс синхронизируется между веб-версией и приложением CoddyKit. Курс AWS for Backend Developers (EC2, S3, RDS, Lambda) содержит 4 уроков всего.

Части этого урока еще не переведены и отображаются на английском.

S3 Security: Why It Matters

Amazon S3 is a highly durable and available storage service, but securing your data is paramount. Misconfigured S3 buckets can expose sensitive information to the public internet.

In this lesson, we'll explore key mechanisms AWS provides to control who can access your S3 data.

Access Control Basics in S3

S3 uses several layers to manage access:

  • Bucket Policies: JSON-based policies applied to a bucket.
  • Access Control Lists (ACLs): Legacy, finer-grained permissions on buckets and objects.
  • Pre-signed URLs: Temporary, time-limited access to specific objects.

Understanding these helps you implement the principle of least privilege.

Understanding Bucket Policies

A Bucket Policy is a resource-based policy written in JSON. It defines permissions for actions on a bucket and its objects.

These policies are powerful because they can grant or deny access to specific AWS accounts, IAM users, roles, or even anonymous users.

Anatomy of a Bucket Policy

Bucket policies consist of statements with these main elements:

  • Effect: Allow or Deny.
  • Principal: Who is allowed or denied (e.g., an IAM user ARN).
  • Action: What actions are allowed (e.g., s3:GetObject, s3:PutObject).
  • Resource: On which resource the action is allowed (e.g., arn:aws:s3:::your-bucket/*).

Bucket Policy Example: Read-Only

Here's a policy that grants an IAM user (arn:aws:iam::123456789012:user/DevUser) read-only access to all objects in my-example-bucket.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:user/DevUser"
      },
      "Action": [
        "s3:GetObject",
        "s3:GetObjectVersion"
      ],
      "Resource": "arn:aws:s3:::my-example-bucket/*"
    }
  ]
}

Introduction to S3 ACLs

Access Control Lists (ACLs) are a legacy access control mechanism that predates bucket policies. They grant specific permissions (READ, WRITE, FULL_CONTROL) to other AWS accounts or predefined S3 groups.

ACLs are typically used for cross-account access or when an object is owned by a different account than the bucket.

ACL vs. Bucket Policy

While both control access, Bucket Policies are generally preferred for their flexibility and centralized management. They allow complex conditions and fine-grained permissions.

ACLs are simpler and are primarily used for granting basic read/write access to individual objects or when ownership of objects differs from the bucket owner (e.g., when objects are uploaded by another account).

What are Pre-signed URLs?

A Pre-signed URL gives temporary, time-limited access to a specific S3 object. An authorized user (or application with appropriate credentials) generates this URL.

It's perfect for scenarios like securely sharing a private file for a few minutes or allowing a user to upload a file directly to S3 without exposing your AWS credentials.

Generate a Pre-signed URL

Here's a Python example using the boto3 library to create a pre-signed URL for downloading an object. The URL will be valid for 3600 seconds (1 hour).

import boto3

def create_presigned_url(bucket_name, object_name, expiration=3600):
    s3_client = boto3.client('s3')
    try:
        response = s3_client.generate_presigned_url('get_object',
                                                    Params={'Bucket': bucket_name,
                                                            'Key': object_name},
                                                    ExpiresIn=expiration)
    except Exception as e:
        print(f"Error generating presigned URL: {e}")
        return None
    return response

if __name__ == '__main__':
    # Replace with your bucket and object details
    my_bucket = "your-unique-bucket-name"
    my_object = "my-secret-document.pdf"

    url = create_presigned_url(my_bucket, my_object)
    if url:
        print(f"Pre-signed URL for {my_object}:")
        print(url)
    else:
        print("Failed to generate URL.")

Quick Check

Which S3 access control method is generally preferred for comprehensive, centralized permissions on a bucket and its objects?

Recap: Securing S3 Data

We covered three key ways to secure your S3 data:

  • Bucket Policies: Powerful, JSON-based rules for comprehensive bucket-level access control.
  • ACLs: Legacy, object-level permissions for specific scenarios like cross-account uploads.
  • Pre-signed URLs: Temporary, time-limited access to individual objects, perfect for sharing or direct uploads.

Always apply the principle of least privilege when securing your S3 resources!

Часто задаваемые вопросы

Урок «Защита доступа к данным S3» бесплатный?

Да — полный текст урока «Защита доступа к данным S3» бесплатно доступен здесь в веб-версии. Чтобы практиковать его интерактивно (встроенный редактор кода и ИИ-репетитор 24/7) и разблокировать остальной курс AWS for Backend Developers (EC2, S3, RDS, Lambda), подпишись на CoddyKit PRO. Курс AWS for Backend Developers (EC2, S3, RDS, Lambda) содержит 4 уроков всего.

Чему я научусь в уроке «Защита доступа к данным S3»?

Настройте контроль доступа к бакетам и объектам S3 с помощью политик бакетов, ACL и предварительно подписанных URL. Ты практикуешь AWS for Backend Developers (EC2, S3, RDS, Lambda) с помощью реального кода, который запускаешь прямо в браузере, и ИИ-репетитор 24/7 отвечает на твои вопросы во время урока.

Нужен ли мне опыт, чтобы начать AWS for Backend Developers (EC2, S3, RDS, Lambda)?

Предыдущий опыт не требуется. AWS for Backend Developers (EC2, S3, RDS, Lambda) на CoddyKit структурирован для всех уровней — от новичков до продвинутых, поэтому ты можешь начать отсюда или с самого начала и учиться в своем темпе. Это урок 3 из 4.

Сколько времени занимает урок «Защита доступа к данным S3»?

Большинство уроков CoddyKit занимают около 5–10 минут. Каждый из них компактный и интерактивный, поэтому ты постоянно делаешь прогресс и продолжаешь с того же места в веб-версии и приложении.

Можно ли писать и запускать код в этом уроке AWS for Backend Developers (EC2, S3, RDS, Lambda)?

Да. Каждый урок AWS for Backend Developers (EC2, S3, RDS, Lambda) включает встроенный редактор кода, поэтому ты пишешь и запускаешь реальный код прямо в браузере и получаешь моментальную обратную связь от AI — локальная установка не требуется.

Все уроки этого курса

  1. Объяснение бакетов и объектов S3
  2. Версионирование S3 и политики жизненного цикла
  3. Защита доступа к данным S3
  4. Размещение статических сайтов и доставка через CDN
← Назад к AWS for Backend Developers (EC2, S3, RDS, Lambda)