จุดเข้าถึงและความเป็นเจ้าของออบเจ็กต์

ACL แบบเดิม (รายการควบคุมการเข้าถึง) อนุญาตให้คุณมอบสิทธิ์การเข้าถึงระดับอ็อบเจ็กต์ได้ แต่มีมาก่อน IAM และนโยบายบัคเก็ต และตรวจสอบได้ยากเมื่อใช้งานในระดับใหญ่

อันตรายที่สุดคือการอัปโหลดข้ามบัญชี อ็อบเจ็กต์ที่บัญชีอื่นเขียนอาจตกเป็นของบัญชีนั้น ทำให้เจ้าของบัคเก็ตไม่สามารถควบคุมได้

S3 Object Ownership กำหนดว่าใครเป็นเจ้าของอ็อบเจ็กต์ที่อัปโหลด การตั้งค่าที่แนะนำคือ Bucket owner enforced ซึ่งปิดใช้งาน ACL ทั้งหมด และทำให้เจ้าของบัคเก็ตเป็นเจ้าของอ็อบเจ็กต์ทุกชิ้นโดยอัตโนมัติ

เมื่อปิด ACL แล้ว การเข้าถึงทั้งหมดจะถูกควบคุมอย่างเป็นระบบด้วย IAM และนโยบายบัคเก็ต ทำความเข้าใจและตรวจสอบได้ง่ายกว่ามาก

เมื่อ Object Ownership ตั้งเป็น Bucket owner enforced แล้ว ACL จะไม่มีผลอีกต่อไป และไม่สามารถมอบสิทธิ์การเข้าถึงได้เลย

นี่เป็นค่าเริ่มต้นสำหรับบัคเก็ตใหม่และเป็นแนวทางปฏิบัติที่ AWS แนะนำ ช่วยขจัดปัญหาความเป็นเจ้าของข้ามบัญชีที่สับสนและเกิดข้อผิดพลาดได้ง่ายออกไปทั้งหมดด้วยการตั้งค่าเดียว

ลองจินตนาการว่าบัญชี A เป็นเจ้าของบัคเก็ต แต่บัญชี B อัปโหลดบันทึกลงในบัคเก็ตนั้น ตามการทำงานเดิมของ ACL บัญชี B จะเป็นเจ้าของอ็อบเจ็กต์เหล่านั้น ดังนั้น A จึงไม่สามารถอ่านหรือลบเนื้อหาในบัคเก็ตของตนเองได้

Bucket owner enforced แก้ปัญหานี้ โดยให้ A เป็นเจ้าของอ็อบเจ็กต์ทุกชิ้นโดยอัตโนมัติ ไม่ว่าใครจะเป็นผู้อัปโหลด ทำให้เจ้าของบัคเก็ตกลับมาควบคุมได้อย่างเต็มที่

S3 Access Points คือปลายทางเครือข่ายที่มีชื่อ ซึ่งเชื่อมต่อกับบัคเก็ต โดยแต่ละจุดมีนโยบายการเข้าถึงของตนเอง

แทนที่จะใช้นโยบายบัคเก็ตขนาดใหญ่และซับซ้อนสำหรับทุกแอปพลิเคชัน ให้สร้างจุดเข้าถึงเฉพาะสำหรับแต่ละกรณีใช้งาน โดยแต่ละจุดมีนโยบายที่เรียบง่ายและจำกัดขอบเขต ทำให้จัดการและตรวจสอบการเข้าถึงได้ง่ายขึ้นมาก

นโยบายบัคเก็ตแบบใช้ร่วมกันเพียงรายการเดียวจะซับซ้อนและมีความเสี่ยงมากขึ้นเมื่อมีทีมใช้บัคเก็ตเพิ่มขึ้น จุดเข้าถึงช่วยแยกนโยบายดังกล่าวออกเป็นนโยบายขนาดเล็กจำนวนมาก

คุณสามารถจำกัดจุดเข้าถึงแต่ละจุดให้ใช้ได้เฉพาะกับ VPC ตั้งชื่อและกำหนดสิทธิ์ของตนเอง และเพิกถอนแยกจากกันได้ ดังนั้นความต้องการของทีมหนึ่งจึงไม่บังคับให้คุณลดการควบคุมการเข้าถึงของทุกคน

คุณสามารถตั้งค่าจุดเข้าถึงให้รับคำขอจาก VPC (Virtual Private Cloud) ที่ระบุเท่านั้น จากนั้นอ็อบเจ็กต์ที่เข้าถึงผ่านจุดนี้จะไม่สามารถเข้าถึงได้จากอินเทอร์เน็ตสาธารณะโดยสิ้นเชิง

นี่เป็นวิธีที่ชัดเจนในการรับรองว่าข้อมูลสำคัญจะถูกเข้าถึงได้เฉพาะโดยเวิร์กโหลดภายในของคุณผ่านเส้นทางเครือข่ายส่วนตัว

Multi-Region Access Points มอบปลายทางทั่วโลกเพียงรายการเดียว ซึ่งกำหนดเส้นทางไปยังบัคเก็ตในหลายภูมิภาค

ในมุมมองด้านความปลอดภัย จุดเข้าถึงเหล่านี้ช่วยให้จัดการนโยบายสำหรับข้อมูลที่กระจายอยู่ทั่วโลกได้ง่ายขึ้น และมีการสลับไปใช้ระบบสำรองโดยอัตโนมัติ ทำให้แอปพลิเคชันยังทำงานต่อได้โดยไม่ต้องระบุชื่อบัคเก็ตตามภูมิภาคไว้ตายตัว

สำหรับการแชร์ข้ามบัญชี ให้ใช้นโยบายบัคเก็ต จุดเข้าถึง และ Object Ownership ร่วมกัน แทนการใช้ ACL

ตั้งค่าเป็น Bucket owner enforced มอบสิทธิ์ให้อีกบัญชีผ่านนโยบายบัคเก็ตหรือจุดเข้าถึงที่จำกัดขอบเขต แล้วคุณจะได้การเข้าถึงข้ามบัญชีที่ตรวจสอบและเพิกถอนได้ โดยไม่เกิดความสับสนเรื่องความเป็นเจ้าของแบบที่ ACL ก่อให้เกิด

จุดเข้าถึงแต่ละจุดมีนโยบายของจุดเข้าถึงเป็นของตนเอง และจะถูกประเมินร่วมกับนโยบายบัคเก็ต นโยบายบัคเก็ตยังสามารถมอบหมายสิทธิ์ให้จุดเข้าถึงได้ โดยอนุญาตให้เข้าถึงผ่านจุดเหล่านั้นเท่านั้น

วิธีนี้ช่วยให้คุณคงนโยบายบัคเก็ตที่เรียบง่ายและเข้มงวดไว้หนึ่งรายการ พร้อมกำหนดสิทธิ์เฉพาะแอปพลิเคชันผ่านนโยบายของจุดเข้าถึงขนาดเล็กที่แยกจากกัน ตรวจสอบและเพิกถอนได้ง่าย

แนวทางการควบคุมการเข้าถึง S3 สมัยใหม่นั้นชัดเจน ให้ปิดใช้งาน ACL ด้วย Bucket owner enforced ควบคุมการเข้าถึงผ่าน IAM และนโยบายบัคเก็ต และใช้จุดเข้าถึงเพื่อให้นโยบายสำหรับแต่ละแอปพลิเคชันมีขนาดเล็กและจำกัดขอบเขต

การผสมผสานนี้ปลอดภัยกว่าและตรวจสอบได้ง่ายกว่าโลกที่ใช้ ACL แบบเดิมอย่างมาก

เลือกวิธีแก้ไขที่เป็นระบบที่สุด

ACL แบบเดิมทำให้เกิดปัญหาความเป็นเจ้าของข้ามบัญชีและตรวจสอบได้ยาก ตั้งค่า S3 Object Ownership เป็น Bucket owner enforced เพื่อปิดใช้งาน ACL และทำให้คุณเป็นเจ้าของอ็อบเจ็กต์ทุกชิ้นอย่างเป็นระบบ โดยควบคุมการเข้าถึงผ่าน IAM และนโยบายบัคเก็ต ใช้ S3 Access Points เพื่อมอบนโยบายขนาดเล็กและจำกัดขอบเขตให้แต่ละแอปพลิเคชัน โดยอาจจำกัดเฉพาะ VPC ได้ และใช้ Multi-Region Access Points สำหรับข้อมูลทั่วโลก ทั้งหมดนี้ช่วยแทนที่ ACL ด้วยรูปแบบการเข้าถึงตามสิทธิ์น้อยที่สุดที่ตรวจสอบได้