ACCT.08: evitar el acceso público a buckets de S3 privados

De forma predeterminada, solo el usuario raíz del principal de IAM Cuenta de AWS y el principal de IAM, si se usa, tienen permisos para leer y escribir en los buckets de Amazon S3 creados por ese principal. A las demás entidades principales de IAM se les concede acceso mediante políticas basadas en identidades, y las condiciones de acceso se pueden aplicar mediante una política de bucket. Puede crear políticas de bucket que concedan al público en general acceso al bucket, un bucket público.

Los buckets que se crearon a partir del 28 de abril de 2023 cuentan con la configuración del Bloqueo de acceso público habilitada de forma predeterminada. En el caso de los buckets que se crearon antes de esta fecha, los usuarios podrían configurar mal la política de bucket y conceder acceso al público sin intención. Puede evitar este error de configuración al habilitar la configuración del Bloqueo de acceso público para cada bucket. Si no tiene casos de uso actuales o futuros para un bucket de S3 público, habilite esta configuración en el Cuenta de AWS nivel. Esta configuración impide las políticas que permiten el acceso público.

Para evitar el acceso público a los buckets de S3

• Configurar los ajustes del bloqueo de acceso público para los buckets de S3 (documentación de Amazon S3).

AWS Trusted Advisor genera un resultado amarillo para los buckets de S3 que permiten el acceso público a listas o de lectura y genera un resultado rojo para los buckets que permiten subir o eliminar archivos de forma pública. Como referencia, siga el control ACCT.12: monitorear y resolver los problemas de alto riesgo mediante el uso de Trusted Advisor para identificar y corregir los buckets mal configurados. Los bucket de S3 de acceso público también se indican en la consola de Amazon S3.