Blocco dell'accesso pubblico allo storage Amazon S3

La caratteristica di blocco dell'accesso pubblico di Amazon S3 fornisce le impostazioni per access point, bucket e account con cui è possibile gestire l'accesso pubblico alle risorse di Amazon S3. Per impostazione predefinita, nuovi bucket, access point e oggetti non consentono l'accesso pubblico. Tuttavia, gli utenti possono modificare le policy di bucket, le policy di access point o le autorizzazioni degli oggetti per consentire l'accesso pubblico. Le impostazioni di blocco dell'accesso pubblico in S3 sostituiscono le policy e le autorizzazioni, in modo da limitare l'accesso pubblico a queste risorse.

Con il blocco dell'accesso pubblico S3, gli amministratori degli account e i proprietari dei bucket possono limitare l'accesso pubblico alle risorse di Amazon S3 configurando facilmente controlli centralizzati, che vengono applicati indipendentemente dal modo in cui vengono create le risorse.

Per istruzioni sulla configurazione dell'accesso pubblico ai blocchi, consulta Configurazione del blocco dell'accesso pubblico.

Quando Amazon S3 riceve una richiesta di accesso a un bucket o a un oggetto, determina se per il bucket o l'account del proprietario del bucket è applicata un'impostazione di blocco dell'accesso pubblico. Se la richiesta è stata effettuata tramite un punto di accesso, Amazon S3 controlla anche la presenza di impostazioni di blocco dell'accesso pubblico per il punto di accesso. Se è presente un'impostazione di blocco dell'accesso pubblico che vieta l'accesso richiesto, Amazon S3 rifiuta la richiesta.

Il blocco dell'accesso pubblico di Amazon S3 comprende quattro impostazioni. Queste impostazioni sono indipendenti e possono essere usate in qualunque combinazione. Ogni impostazione può essere applicata a un punto di accesso, a un bucket o a un intero Account AWS. Se le impostazioni di blocco dell'accesso pubblico per l'access point, il bucket o l'account sono diverse, Amazon S3 applica la combinazione più restrittiva di impostazioni.

Quando Amazon S3 valuta se un'operazione è vietata da un'impostazione di accesso pubblico al blocco, rifiuta qualsiasi richiesta che violi l'impostazione di un punto di accesso, un bucket o un account.

Importante

L'accesso pubblico è concesso a bucket e oggetti tramite liste di controllo degli accessi (ACLs), policy sui punti di accesso, policy sui bucket o altro. Per garantire che l'accesso pubblico sia bloccato per tutti gli access point, i bucket e gli oggetti di Amazon S3, ti consigliamo di attivare tutte e quattro le impostazioni per bloccare l'accesso pubblico per l'account. Queste impostazioni bloccano l'accesso pubblico per tutti i bucket e access point correnti e futuri.

Prima di applicare queste impostazioni, verifica che le applicazioni funzionino correttamente senza accesso pubblico. Se è richiesto un certo livello di accesso pubblico ai bucket o agli oggetti, ad esempio per ospitare un sito Web statico come descritto in Hosting di un sito Web statico tramite Amazon S3, puoi personalizzare le impostazioni individuali in funzione dei casi d'uso di storage.

L'attivazione dell'accesso pubblico a blocchi aiuta a proteggere le risorse impedendo che l'accesso pubblico venga concesso tramite le politiche delle risorse o le liste di controllo degli accessi (ACLs) direttamente allegate alle risorse S3. Oltre ad abilitare Block Public Access, esamina attentamente le seguenti politiche per verificare che non garantiscano l'accesso pubblico:

• Politiche basate sull'identità collegate ai AWS principali associati (ad esempio, ruoli IAM)

• Politiche basate sulle risorse collegate alle AWS risorse associate (ad esempio, chiavi (KMS)) AWS Key Management Service

Nota

• È possibile abilitare le impostazioni di blocco dell'accesso pubblico solo per i punti di accesso, i bucket e gli Account AWS. Amazon S3 non supporta le impostazioni di blocco dell'accesso pubblico per i singoli oggetti.

• Quando si applicano impostazioni di blocco dell'accesso pubblico a un account, le impostazioni si applicano a tutti a livello globale. Regioni AWS Le impostazioni possono non diventare effettive in tutte le regioni immediatamente o allo stesso momento, ma vengono infine propagate in tutte le regioni.

Argomenti

• Impostazioni di blocco dell'accesso pubblico

• Esecuzione di operazioni di accesso pubblico di blocco su un punto di accesso

• Significato di "pubblico"

• Utilizzo di IAM Access Analyzer per S3 per esaminare i bucket pubblici

• Autorizzazioni

• Configurazione del blocco dell'accesso pubblico

• Configurazione delle impostazioni di blocco dell'accesso pubblico per l'account

• Configurazione delle impostazioni di blocco dell'accesso pubblico per i bucket S3

Impostazioni di blocco dell'accesso pubblico

Il blocco dell'accesso pubblico in S3 comprende quattro impostazioni. È possibile applicare queste impostazioni in qualsiasi combinazione a singoli access point, bucket o a interi account Account AWS. Se applichi un'impostazione a un account, l'impostazione viene applicata a tutti i bucket e gli access point di proprietà dell'account. Analogamente, se applichi un'impostazione a un bucket, questa si applica a tutti gli access point associati al bucket.

La tabella seguente contiene le impostazioni disponibili.

Nome	Descrizione
BlockPublicAcls	Se questa opzione è impostata su TRUE, produce il comportamento seguente: PutBucketAcl e PutObjectAcl falliscono se la lista di controllo degli accessi (ACL) specificata è pubblica. PutObject fallisce se la richiesta include una ACL pubblica. Se questa impostazione viene applicata a un account, PUT Bucket le chiamate hanno esito negativo se la richiesta include un ACL pubblico. Quando questa impostazione è impostata suTRUE, le operazioni specificate hanno esito negativo (indipendentemente dal fatto che vengano eseguite tramite l'API REST o AWS SDKs). AWS CLI Tuttavia, le politiche esistenti, ACLs i bucket e gli oggetti non vengono modificati. Questa impostazione consente di proteggere dall'accesso pubblico e al contempo di controllare, perfezionare o modificare in altro modo le politiche esistenti, i bucket e ACLs gli oggetti. Nota I punti di accesso non sono ACLs associati a essi. Se applicata a un punto di accesso, questa impostazione funge da passthrough al bucket sottostante. Se in un punto di accesso è attivata questa impostazione, le richieste effettuate tramite il punto di accesso si comportano come se il bucket sottostante avesse abilitato questa impostazione, indipendentemente dal fatto che il bucket abbia o meno effettivamente abilitato questa impostazione.
IgnorePublicAcls	L'impostazione di questa opzione TRUE fa sì che Amazon S3 ignori tutto il pubblico ACLs su un bucket e tutti gli oggetti in esso contenuti. Questa impostazione consente di bloccare in modo sicuro l'accesso pubblico concesso da, ACLs pur continuando a consentire PutObject le chiamate che includono un ACL pubblico (al contrarioBlockPublicAcls, che rifiuta PutObject le chiamate che includono un ACL pubblico). L'attivazione di questa impostazione non influisce sulla persistenza di quelle esistenti ACLs e non impedisce l'impostazione di un nuovo pubblico ACLs . Nota I punti di accesso non sono ACLs associati a essi. Se applicata a un punto di accesso, questa impostazione funge da passthrough al bucket sottostante. Se in un punto di accesso è attivata questa impostazione, le richieste effettuate tramite il punto di accesso si comportano come se il bucket sottostante avesse abilitato questa impostazione, indipendentemente dal fatto che il bucket abbia o meno effettivamente abilitato questa impostazione.
BlockPublicPolicy	L'impostazione di questa opzione su TRUE per un bucket fa sì che Amazon S3 rifiuti le chiamate PutBucketPolicy a se la policy del bucket specificata consente l'accesso pubblico. L'impostazione di questa opzione su TRUE per un bucket fa sì che Amazon S3 rifiuti anche le chiamate PutAccessPointPolicy verso tutti i punti di accesso dello stesso account del bucket se la politica specificata consente l'accesso pubblico. L'impostazione di questa opzione su TRUE per un punto di accesso fa sì che Amazon S3 rifiuti le chiamate verso PutAccessPointPolicy e PutBucketPolicy che vengono effettuate tramite il punto di accesso se la politica specificata (per il punto di accesso o il bucket sottostante) consente l'accesso pubblico. Puoi utilizzare questa impostazione per permettere agli utenti di gestire policy di bucket e punti di accesso impedendo loro di condividere pubblicamente il bucket o gli oggetti che contiene. L'abilitazione di questa impostazione non influisce sulle policy di access point o di bucket esistenti. Importante Per usare questa impostazione in modo efficace, consigliamo di applicarla a livello di account. Una policy del bucket può consentire agli utenti di modificare le impostazioni di blocco dell'accesso pubblico di un bucket. Gli utenti autorizzati a modificare la policy del bucket potrebbero inserire una policy che permette loro di disabilitare le impostazioni di blocco dell'accesso pubblico per il bucket. Se questa impostazione è abilitata per l'intero account anziché per un bucket specifico, Amazon S3 blocca le policy pubbliche anche se un utente modifica la policy del bucket per disabilitare l'impostazione.
RestrictPublicBuckets	L'impostazione di questa opzione in modo da TRUE limitare l'accesso a un punto di accesso o a un bucket con una politica pubblica solo ai responsabili del AWS servizio e agli utenti autorizzati all'interno dell'account del proprietario del bucket e dell'account del proprietario del punto di accesso. Questa impostazione blocca tutti gli accessi tra account al punto di accesso o al bucket (ad eccezione dei responsabili del AWS servizio), pur consentendo agli utenti all'interno dell'account di gestire il punto di accesso o il bucket. L'abilitazione di questa impostazione non influisce sulle policy dell'access point o del bucket esistenti, eccetto che per il fatto che Amazon S3 blocca l'accesso pubblico e multiaccount derivato da qualsiasi policy dell'access point o del bucket pubblica, inclusa la delega non pubblica ad account specifici.

Importante

• Chiama GetBucketAcl e restituisce GetObjectAcl sempre le autorizzazioni effettive in vigore per il bucket o l'oggetto specificato. Ad esempio, supponiamo che un bucket sia associato a una lista di controllo accessi che concede l'accesso pubblico, ma che per il bucket sia anche abilitata l'impostazione IgnorePublicAcls. In questo caso, GetBucketAcl restituisce un ACL che riflette le autorizzazioni di accesso applicate da Amazon S3, anziché l'ACL effettivo associato al bucket.

• Le impostazioni di blocco dell'accesso pubblico non alterano le politiche esistenti o. ACLs La rimozione di una di queste impostazioni fa sì che un bucket o un oggetto con una policy o una lista di controllo accessi pubblica torni pubblicamente accessibile.

Esecuzione di operazioni di accesso pubblico di blocco su un punto di accesso

Per eseguire operazioni di blocco dell'accesso pubblico su un punto di accesso, utilizza il AWS CLI servizios3control.

Importante

Non è possibile modificare le impostazioni di blocco dell'accesso pubblico di un punto di accesso dopo averlo creato. È possibile specificare le impostazioni di blocco dell'accesso pubblico per un punto di accesso solo durante la creazione del punto di accesso.

Significato di "pubblico"

ACLs

Amazon S3 considera pubblica una lista ACL di un bucket o di un oggetto se questa concede qualsiasi autorizzazione a membri dei gruppi predefiniti AllUsers e AuthenticatedUsers. Per ulteriori informazioni sui gruppi predefiniti, consulta Gruppi predefiniti di Amazon S3.

Policy di bucket

Quando valuta la policy di un bucket, Amazon S3 inizia presumendo che la policy sia pubblica. Quindi valuta la policy per determinare se si qualifica come non pubblica. Per essere considerata non pubblica, una policy di bucket deve concedere l'accesso solo a valori fissi (valori che non contengono caratteri jolly o una variabile di policy AWS Identity and Access Management) di uno o più degli elementi seguenti:

• Un AWS principale, un utente, un ruolo o un responsabile del servizio (ad es.aws:PrincipalOrgID)

• Un insieme di blocchi CIDR (Classless Inter-Domain Routings), utilizzando. aws:SourceIp Per ulteriori informazioni sui CIDR, consulta RFC 4632 nel sito Web RFC Editor.

  Nota

  Le policy di bucket che concedono l'accesso in base alla chiave di condizione aws:SourceIp con intervalli IP molto ampi (ad esempio 0.0.0.0/1) vengono considerate "pubbliche". Ciò include valori più ampi di /8 for IPv4 e /32 for IPv6 (esclusi gli intervalli privati). RFC1918 Bloccare l'accesso pubblico rifiuterà queste politiche «pubbliche» e impedirà l'accesso tra account a bucket che già utilizzano queste politiche «pubbliche».

• aws:SourceArn

• aws:SourceVpc

• aws:SourceVpce

• aws:SourceOwner

• aws:SourceAccount

• aws:userid, al di fuori del modello "AROLEID:*"

• s3:DataAccessPointArn

  Nota

  Se utilizzato in una policy bucket, questo valore può contenere un carattere jolly per il nome del punto di accesso senza rendere pubblica la policy, purché l'ID dell'account sia fisso. Ad esempio, consentendo l'accesso a arn:aws:s3:us-west-2:123456789012:accesspoint/* si consente l'accesso a qualsiasi access point associato all'account 123456789012 nella regione us-west-2, senza rendere pubblica la policy di bucket. Questo comportamento è diverso per le politiche dei punti di accesso. Per ulteriori informazioni, consulta Access point.

• s3:DataAccessPointAccount

Per ulteriori informazioni sulle policy di bucket, consulta Policy dei bucket per Amazon S3.

Nota

Quando si utilizzano chiavi di contesto multivalore, è necessario utilizzare gli operatori ForAllValues o ForAnyValue set.

Esempio : policy di bucket pubbliche

In queste regole le policy di esempio seguenti sono considerate pubbliche.

{
		"Principal": "*", 
		"Resource": "*", 
		"Action": "s3:PutObject", 
		"Effect": "Allow" 
	}

{
		"Principal": "*", 
		"Resource": "*", 
		"Action": "s3:PutObject", 
		"Effect": "Allow", 
		"Condition": { "StringLike": {"aws:SourceVpc": "vpc-*"}}
	}

Queste policy possono essere modificate in non pubbliche includendo una delle chiavi di condizione elencate in precedenza, usando un valore fisso. Ad esempio, l'ultima policy indicata sopra può essere modificata in non pubblica impostando aws:SourceVpc su un valore fisso, come mostrato di seguito.

{
		"Principal": "*", 
		"Resource": "*", 
		"Action": "s3:PutObject", 
		"Effect": "Allow", 
		"Condition": {"StringEquals": {"aws:SourceVpc": "vpc-91237329"}}
	}

Questo esempio mostra in che modo Amazon S3 valuta una policy di bucket che contiene concessioni di accesso sia pubblico sia non pubblico.

Questo esempio mostra in che modo Amazon S3 valuta una policy del bucket che contiene concessioni di accesso sia pubblico sia non pubblico.

Supponiamo che un bucket sia associato a una policy che concede l'accesso a un set di entità principali fisse. In base alle regole descritte in precedenza, questa policy non è pubblica. Di conseguenza, se abiliti l'impostazione RestrictPublicBuckets, la policy continua a essere valida come indicato, perché RestrictPublicBuckets si applica solo ai bucket associati a policy pubbliche. Tuttavia, se aggiungi un'istruzione pubblica alla policy, RestrictPublicBuckets ha effetto sul bucket. Consente l'accesso al bucket solo ai responsabili del AWS servizio e agli utenti autorizzati dell'account del proprietario del bucket.

Ad esempio, supponiamo che un bucket di proprietà di "Account-1" sia associato a una policy che contiene gli elementi seguenti:

1. Una dichiarazione che concede l'accesso a AWS CloudTrail (che è un servizio principale) AWS

2. Un'istruzione che concede l'accesso all'account "Account-2"

3. Un'istruzione che concede l'accesso al pubblico, ad esempio specificando "Principal": "*" senza Condition limitante

Questa policy viene qualificata come pubblica a causa della terza istruzione. Con questa politica in vigore e RestrictPublicBuckets abilitata, Amazon S3 consente l'accesso solo da. CloudTrail Anche se l'istruzione 2 non è pubblica, Amazon S3 disabilita l'accesso da parte di "Account-2". Il motivo è che l'istruzione 3 rende pubblica l'intera policy, quindi viene applicata l'impostazione RestrictPublicBuckets. Di conseguenza, Amazon S3 disabilita l'accesso multiaccount, anche se la policy delega l'accesso a un account specifico, ovvero "Account-2". Se tuttavia rimuovi l'istruzione 3 dalla policy, questa non si qualifica più come pubblica e l'impostazione RestrictPublicBuckets non viene più applicata. Di conseguenza, "Account-2" riottiene l'accesso al bucket, anche se lasci abilitata l'impostazione RestrictPublicBuckets.

Access point

Amazon S3 valuta le impostazioni di blocco dell'accesso pubblico in modo leggermente diverso per gli access point rispetto ai bucket. Le regole applicate da Amazon S3 per determinare quando una policy di un access point è pubblica sono generalmente le stesse per gli access point e per i bucket, ad eccezione delle seguenti situazioni:

• Un access point con un'origine di rete VPC è sempre considerato non pubblico, indipendentemente dal contenuto della policy di access point.

• Una policy di access point che concede l'accesso a un set di access point utilizzando s3:DataAccessPointArn è considerata pubblica. Tieni presente che questo comportamento è diverso rispetto alle policy di bucket. Ad esempio, una policy di bucket che concede l'accesso ai valori di s3:DataAccessPointArn che corrispondono a arn:aws:s3:us-west-2:123456789012:accesspoint/* è considerata pubblica. Tuttavia, la stessa istruzione in una policy di access point renderebbe pubblico l'access point.

Utilizzo di IAM Access Analyzer per S3 per esaminare i bucket pubblici

Puoi utilizzare IAM Access Analyzer per S3 per esaminare i bucket con policy relative a bucket ACLs, bucket o access point che garantiscono l'accesso pubblico. IAM Access Analyzer for S3 ti avvisa della presenza di bucket configurati per consentire l'accesso a chiunque su Internet o altro, anche all'esterno dell'organizzazione. Account AWS Account AWS Per ogni bucket pubblico o condiviso, vengono visualizzati risultati che riportano l'origine e il livello di accesso pubblico o condiviso.

In IAM Access Analyzer per S3, è possibile bloccare tutti gli accessi pubblici a un bucket con un solo clic. Inoltre, puoi eseguire il drill-down nelle impostazioni relative alle autorizzazioni a livello di bucket per configurare i livelli di accesso granulari. Per casi d'uso specifici e verificati che richiedono l'accesso pubblico o condiviso, puoi confermare e registrare l'intenzione del bucket di rimanere pubblico o condiviso archiviando i risultati per il bucket.

In rari casi, la valutazione dell'accesso pubblico a blocchi di IAM Access Analyzer per S3 e Amazon S3 potrebbe differire a seconda che un bucket sia pubblico. Questo comportamento si verifica perché l'accesso pubblico a blocchi di Amazon S3 esegue la convalida dell'esistenza di azioni oltre a valutare l'accesso pubblico. Supponiamo che la bucket policy contenga un'Actionistruzione che consenta l'accesso pubblico a un'azione non supportata da Amazon S3 (ad esempio,). s3:NotASupportedAction In questo caso, l'accesso pubblico a blocchi di Amazon S3 valuta il bucket come pubblico perché una tale dichiarazione potrebbe potenzialmente renderlo pubblico se l'azione verrà successivamente supportata. Nei casi in cui Amazon S3 blocca l'accesso pubblico e IAM Access Analyzer for S3 differiscono nelle rispettive valutazioni, consigliamo di rivedere la policy sui bucket e rimuovere eventuali azioni non supportate.

Per ulteriori informazioni su IAM Access Analyzer per S3, consultare Revisione dell'accesso al bucket tramite IAM Access Analyzer per S3.

Autorizzazioni

Per utilizzare le caratteristiche di blocco dell'accesso pubblico di Amazon S3, sono necessarie le autorizzazioni seguenti.

Operazione	Autorizzazioni richieste
GETstato della bucket policy	s3:GetBucketPolicyStatus
GETimpostazioni bucket Block Public Access	s3:GetBucketPublicAccessBlock
PUTimpostazioni bucket Block Public Access	s3:PutBucketPublicAccessBlock
DELETEimpostazioni bucket Block Public Access	s3:PutBucketPublicAccessBlock
GETaccount: Blocca le impostazioni di accesso pubblico	s3:GetAccountPublicAccessBlock
PUTaccount Blocca impostazioni di accesso pubblico	s3:PutAccountPublicAccessBlock
DELETEaccount Blocca impostazioni di accesso pubblico	s3:PutAccountPublicAccessBlock
PUTpunto di accesso Blocca impostazioni di accesso pubblico	s3:CreateAccessPoint

Nota

Le DELETE operazioni richiedono le stesse autorizzazioni delle PUT operazioni. Non esistono autorizzazioni separate per le DELETE operazioni.

Configurazione del blocco dell'accesso pubblico

Per ulteriori informazioni sulla configurazione dell'accesso pubblico a blocchi per i tuoi Account AWS, i tuoi bucket Amazon S3 e i tuoi access point, consulta i seguenti argomenti:

• Configurazione delle impostazioni di blocco dell'accesso pubblico per l'account

• Configurazione delle impostazioni di blocco dell'accesso pubblico per i bucket S3

• Esecuzione di operazioni di accesso pubblico di blocco su un punto di accesso