Точки доступа и владение объектами

Устаревшие ACL (списки контроля доступа) позволяют выдавать доступ на уровне объектов, но появились раньше IAM и политик корзин, поэтому их сложно проверять в больших масштабах.

Наибольшую опасность представляют загрузки между учетными записями: объект, записанный другой учетной записью, может принадлежать ей, и владелец корзины не сможет им управлять.

Владение объектами S3 определяет, кому принадлежат загруженные объекты. Рекомендуемая настройка — владелец корзины enforced: она полностью отключает ACL и автоматически передает владельцу корзины право собственности на каждый объект.

При отключенных ACL весь доступ четко регулируется IAM и политиками корзин — их гораздо проще понимать и проверять.

Если для владения объектами установлено значение «Принудительное владение корзиной», ACL больше не применяются и не могут предоставлять доступ.

Теперь это значение используется по умолчанию для новых корзин и рекомендуется AWS в качестве лучшей практики. Одна настройка устраняет целый класс запутанных и подверженных ошибкам проблем с владением объектами при доступе между учетными записями.

Представьте, что учетная запись A владеет корзиной, а учетная запись B загружает в нее журналы. При использовании старого поведения ACL объектами владеет B, поэтому A не может читать или удалять содержимое собственной корзины.

Принудительное владение корзиной устраняет эту проблему: A автоматически владеет каждым объектом независимо от того, кто его загрузил, и владелец корзины снова получает полный контроль.

Точки доступа S3 — это именованные сетевые конечные точки, подключенные к корзине; у каждой есть собственная политика доступа.

Вместо одной огромной и запутанной политики корзины для всех приложений создайте отдельную точку доступа для каждого сценария — с простой политикой ограниченного доступа. Так управлять доступом и проверять его становится гораздо легче.

По мере подключения новых команд единая общая политика корзины становится сложной и рискованной. Точки доступа разделяют ее на множество небольших политик.

Каждую точку доступа можно ограничить VPC, назначить ей отдельное имя и разрешения, а также отозвать независимо от других. Поэтому потребности одной команды не вынуждают ослаблять доступ для всех.

Точку доступа можно настроить так, чтобы она принимала запросы только из определенной VPC (виртуального частного облака). Тогда объекты, к которым обращаются через нее, полностью недоступны из публичного интернета.

Это удобный способ гарантировать, что доступ к конфиденциальным данным получают только внутренние рабочие нагрузки по частному сетевому маршруту.

Точки доступа S3 в нескольких регионах предоставляют одну глобальную конечную точку, которая направляет запросы к корзинам в нескольких регионах.

С точки зрения безопасности они упрощают управление политиками для данных, распределенных по всему миру, и обеспечивают автоматическое переключение при сбое. Благодаря этому приложения продолжают работать без жестко заданных региональных имен корзин.

Для совместного использования данных между учетными записями сочетайте политики корзин, точки доступа и владение объектами вместо ACL.

Установите принудительное владение корзиной, предоставьте другой учетной записи доступ через ограниченную политику корзины или точки доступа — и получите проверяемый и отзывный доступ между учетными записями без путаницы с владением, которую создают ACL.

Каждая точка доступа имеет собственную политику точки доступа, которая оценивается вместе с политикой корзины. Политика корзины может даже делегировать полномочия точкам доступа, разрешая доступ только через них.

Это позволяет сохранить одну простую ограничительную политику корзины, а разрешения для отдельных приложений выразить в небольших независимых политиках точек доступа, которые легко проверять и отзывать.

Современный подход к доступу в S3 очевиден: отключите ACL с помощью настройки принудительного владения корзиной, регулируйте доступ через IAM и политики корзин, а для небольших политик отдельных приложений с ограниченной областью действия используйте точки доступа.

Такое сочетание безопаснее и значительно проще для аудита, чем устаревшая модель ACL.

Выберите наиболее эффективное исправление.

Устаревшие ACL создают проблемы с владением при доступе между учетными записями и плохо поддаются аудиту. Установите для S3 владение объектами в значение «Принудительное владение корзиной», чтобы отключить ACL и обеспечить однозначное владение всеми объектами, а доступ регулируйте через IAM и политики корзин. Используйте точки доступа S3, чтобы предоставить каждому приложению небольшую политику с ограниченной областью действия и при необходимости ограничить ее VPC, а для глобальных данных — точки доступа в нескольких регионах. Вместе они заменяют ACL проверяемой моделью доступа с минимально необходимыми разрешениями.