Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Kontrol akses klien ke sistem file File S3

Topik ini menjelaskan cara menggunakan kebijakan sistem file, kebijakan identitas IAM, dan kontrol jaringan untuk mengontrol klien mana yang dapat mengakses sistem file File S3 Anda dan melalui titik akses mana.

Titik Akses S3 Files

Titik akses File S3 adalah titik masuk khusus aplikasi ke sistem file yang menyederhanakan pengelolaan akses data dalam skala besar. Anda dapat menggunakan titik akses untuk menegakkan identitas pengguna dan izin untuk semua permintaan sistem file yang dibuat melalui titik akses, dan membatasi klien untuk hanya mengakses data dalam direktori root tertentu dan subdirektorinya.

Akses titik lingkup apa yang klien dapat lakukan pada sistem file. Mereka tidak mencakup klien mana yang dapat menggunakannya. Peran apa pun di akun Anda dengan s3files:ClientMount izin dapat dipasang melalui titik akses apa pun pada sistem file kecuali jika kebijakan sistem file membatasinya. Untuk mengontrol klien mana yang dapat menggunakan titik akses mana, gabungkan tiga lapisan: kontrol jaringan (mencegah koneksi), kebijakan sumber daya sistem file (penolakan eksplisit yang bertahan dari perubahan kebijakan identitas), dan kebijakan identitas IAM (hak istimewa terkecil pada peran).

File S3 mengevaluasis3files:ClientMount,s3files:ClientWrite, dan s3files:ClientRootAccess terhadap kebijakan sistem file pada setiap pemasangan. Kunci s3files:AccessPointArn kondisi juga dievaluasi pada setiap mount, sehingga Anda dapat menulis pernyataan penolakan tunggal yang memblokir akses melalui jalur akses apa pun kecuali yang Anda tentukan. Jika ada tindakan yang diperlukan ditolak atau tidak diberikan, pemasangan gagal sebelum operasi file apa pun terjadi. Dua bagian berikut mencakup dua persyaratan umum: membatasi beban kerja ke titik akses tertentu, dan menolak akses beban kerja ke sistem file sama sekali.

Membatasi akses ke titik akses tertentu

Pola ini berlaku ketika peran (misalnya, peran instans EC2 atau peran tugas ECS) harus memasang sistem file melalui satu titik akses saja. Kunci kondisinya adalahs3files:AccessPointArn. Kebijakan ini mensyaratkan titik akses yang dimaksudkan dan eksplisit Deny untuk setiap titik akses lainnya. Allow IAM mengizinkan hibah bersifat aditif di seluruh kebijakan identitas dan sumber daya; tanpa penolakan eksplisit, kebijakan terpisah dapat memberikan akses ke titik akses yang berbeda.

Contoh kebijakan sistem file:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowComputeAOnlyViaSpecificAP",
      "Effect": "Allow",
      "Principal": { "AWS": "arn:aws:iam::ACCOUNT:role/compute-a-role" },
      "Action": [
        "s3files:ClientMount",
        "s3files:ClientWrite"
      ],
      "Condition": {
        "StringEquals": {
          "s3files:AccessPointArn": "arn:aws:s3files:REGION:ACCOUNT:file-system/fs-ID/access-point/fsap-ID"
        }
      }
    },
    {
      "Sid": "DenyComputeAIfWrongAP",
      "Effect": "Deny",
      "Principal": { "AWS": "arn:aws:iam::ACCOUNT:role/compute-a-role" },
      "Action": "s3files:Client*",
      "Condition": {
        "StringNotEquals": {
          "s3files:AccessPointArn": "arn:aws:s3files:REGION:ACCOUNT:file-system/fs-ID/access-point/fsap-ID"
        }
      }
    }
  ]
}

Peran compute-a-role diizinkan untuk me-mount dan menulis hanya ketika permintaan menargetkanfsap-ID, dan secara eksplisit ditolak pada setiap titik akses lain pada sistem file ini. Penolakan eksplisit dalam kebijakan sumber daya tidak dapat diganti dengan kebijakan identitas, jadi pembatasan ini berlaku bahkan jika kebijakan IAM yang lebih luas dilampirkan ke peran tersebut nanti.

Perintah mount:

sudo mount -t s3files -o accesspoint=fsap-ID fs-ID:/ /mnt/s3files

Tolak akses beban kerja melalui jalur akses apa pun

Pola ini berlaku ketika peran berbagi akun dengan sistem file File S3 tetapi tidak boleh memasangnya melalui titik akses apa pun atau secara langsung. Untuk memblokir semua penggunaan titik akses, terapkan tiga lapisan yang diurutkan dari jaminan isolasi terkuat hingga terlemah.

1. Kontrol jaringan. Hapus aturan grup keamanan yang memberikan compute-b-role akses instans ke target pemasangan pada port TCP 2049. Kontrol jaringan adalah lapisan yang paling tangguh karena mencegah upaya pemasangan sebelum pertukaran kredensyal terjadi. Meskipun kebijakan yang salah konfigurasi memberikan izin pemasangan, koneksi NFS tidak dapat mencapai target pemasangan.

2. Penolakan eksplisit dalam kebijakan sistem file. Pernyataan penolakan dalam kebijakan sistem file menolak pemasangan meskipun peran tersebut diberikan izin IAM yang lebih luas nanti. Kebijakan sumber daya sistem file memberikan penolakan yang tetap ada bahkan jika seseorang dengan iam:PutRolePolicy memodifikasi kebijakan identitas peran. Hanya prinsipal dengan yang s3files:PutFileSystemPolicy dapat mengubah lapisan ini.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyComputeBOnFileSystem",
      "Effect": "Deny",
      "Principal": { "AWS": "arn:aws:iam::ACCOUNT:role/compute-b-role" },
      "Action": "s3files:Client*",
      "Resource": "*"
    }
  ]
}

3. Kebijakan identitas IAM. Jangan berikan s3files:Client* izin untuk peran tersebut. Ini adalah lapisan terakhir dan paling mudah untuk salah konfigurasi, karena administrator mana pun yang iam:PutRolePolicy dapat memberikan izin pemasangan ke suatu peran.

Tanpa kebijakan sistem file, peran apa pun dapat dipasang melalui titik akses apa pun

Kebijakan sumber daya sistem file memberikan penolakan yang tidak dapat dihapus oleh seseorang yang hanya memiliki izin untuk mengubah kebijakan identitas. Tanpa kebijakan sistem file, peran apa pun s3files:ClientMount dalam kebijakan identitasnya dapat dipasang melalui titik akses apa pun pada sistem file. Kami menyarankan Anda melampirkan kebijakan sistem file ke setiap sistem file dengan garis dasar penolakan, lalu menambahkan pernyataan allow per beban kerja.

Praktik terbaik untuk isolasi titik akses

Tabel berikut merangkum pendekatan yang direkomendasikan untuk tujuan isolasi titik akses umum.