Erişim Noktaları ve Nesne Sahipliği

Eski ACL'ler (erişim denetim listeleri), nesne düzeyinde erişim vermenizi sağlar; ancak IAM ve bucket politikalarından önce kullanıma sunuldukları için büyük ölçekte denetlenmeleri zordur.

En büyük tehlike hesaplar arası yüklemelerdir: başka bir hesap tarafından yazılan bir nesnenin sahibi o hesap olabilir ve bucket sahibi üzerinde denetim kuramayabilir.

S3 Object Ownership, yüklenen nesnelerin sahibinin kim olduğunu belirler. Önerilen ayarı olan Bucket owner enforced, ACL'leri tamamen devre dışı bırakır ve bucket sahibinin her nesnenin otomatik olarak sahibi olmasını sağlar.

ACL'ler kapalıyken tüm erişim IAM ve bucket politikaları tarafından temiz biçimde yönetilir; bu yapılandırmayı anlamak ve denetlemek çok daha kolaydır.

Object Ownership, Bucket owner enforced olarak ayarlandığında ACL'ler artık geçerli olmaz ve hiçbir şekilde erişim veremez.

Bu ayar artık yeni bucket'lar için varsayılandır ve AWS'nin önerdiği en iyi uygulamadır. Tek bir ayarla, hesaplar arası sahiplikten kaynaklanan kafa karıştırıcı ve hataya açık sorunların oluşturduğu bütün bir sınıfı ortadan kaldırır.

A hesabının bir bucket'ın sahibi olduğunu, ancak B hesabının bu bucket'a günlükler yüklediğini düşünün. Eski ACL davranışında bu nesnelerin sahibi B olur; dolayısıyla A, kendi bucket'ının içeriğini okuyamaz veya silemez.

Bucket owner enforced bu sorunu çözer: Yüklemeyi kimin yaptığına bakılmaksızın A otomatik olarak her nesnenin sahibi olur ve bucket sahibinin tam denetimi yeniden sağlanır.

S3 Access Points, bir bucket'a bağlanan ve her birinin kendine ait erişim politikasına sahip olduğu adlandırılmış ağ uç noktalarıdır.

Her uygulamaya hizmet veren tek ve karmaşık bir bucket politikası yerine, her kullanım senaryosu için ayrı bir erişim noktası oluşturabilirsiniz. Her erişim noktası basit ve kapsamı sınırlandırılmış bir politikaya sahip olur; böylece erişimi yönetmek ve denetlemek çok daha kolaylaşır.

Tek bir paylaşılan bucket politikası, bucket'ı kullanan ekiplerin sayısı arttıkça karmaşık ve riskli hâle gelir. Erişim noktaları bu yapıyı birçok küçük politikaya ayırır.

Her erişim noktası bir VPC ile sınırlandırılabilir, kendine ait bir ad ve izinler alabilir ve bağımsız olarak iptal edilebilir. Böylece bir ekibin ihtiyaçları, herkes için erişimi gevşetmenizi hiçbir zaman gerektirmez.

Bir erişim noktası yalnızca belirli bir VPC'den (Sanal Özel Bulut) gelen istekleri kabul edecek şekilde ayarlanabilir. Böylece bu erişim noktası üzerinden ulaşılan nesnelere genel internetten hiçbir şekilde erişilemez.

Bu, hassas verilere yalnızca özel bir ağ yolu üzerinden kurum içi iş yüklerinizin erişmesini sağlamanın temiz bir yoludur.

Multi-Region Access Points, çeşitli bölgelerdeki bucket'lara yönlendirme yapan tek bir küresel uç nokta sunar.

Güvenlik açısından bu yapı, küresel olarak dağıtılmış veriler için politika yönetimini basitleştirir ve otomatik yük devretme sağlar. Böylece uygulamalar, bölgesel bucket adlarını sabit olarak kodlamadan çalışmayı sürdürür.

Hesaplar arasında paylaşım yaparken ACL'ler yerine bucket politikalarını, erişim noktalarını ve Object Ownership'i birlikte kullanın.

Bucket owner enforced ayarını yapın, diğer hesaba kapsamı sınırlandırılmış bir bucket veya erişim noktası politikası üzerinden izin verin. Böylece ACL'lerin neden olduğu sahiplik karmaşası olmadan denetlenebilir ve iptal edilebilir hesaplar arası erişim elde edersiniz.

Her erişim noktası, bucket politikasıyla birlikte değerlendirilen kendi erişim noktası politikasını taşır. Bucket politikası, erişimi yalnızca erişim noktaları üzerinden verecek şekilde yetkiyi erişim noktalarına devredebilir.

Bu sayede tek ve basit, kısıtlayıcı bir bucket politikasını korurken uygulama başına izinleri, incelenmesi ve iptal edilmesi kolay küçük ve bağımsız erişim noktası politikalarıyla ifade edebilirsiniz.

Modern S3 erişim yaklaşımı açıktır: Bucket owner enforced ile ACL'leri devre dışı bırakın, erişimi IAM ve bucket politikaları üzerinden yönetin ve uygulama başına politikaları küçük ve kapsamı sınırlandırılmış tutmak için erişim noktalarını kullanın.

Bu birleşim, eski ACL dünyasına kıyasla hem daha güvenlidir hem de denetlenmesi çok daha kolaydır.

En temiz çözümü seçin.

Eski ACL'ler, hesaplar arası sahiplik sorunlarına yol açar ve denetlenmeleri zordur. ACL'leri devre dışı bırakmak ve her nesnenin sahipliğini temiz biçimde üstlenmek için S3 Object Ownership ayarını Bucket owner enforced olarak belirleyin; erişimi IAM ve bucket politikaları üzerinden yönetin. Her uygulamaya küçük, kapsamı sınırlandırılmış ve isteğe bağlı olarak VPC ile kısıtlanmış bir politika vermek için S3 Access Points kullanın; küresel veriler için Multi-Region Access Points'ten yararlanın. Bunlar birlikte ACL'lerin yerini denetlenebilir, en az ayrıcalık ilkesine dayalı bir erişim modeliyle alır.