Sicurezza dell'infrastruttura in Amazon S3

In quanto servizio gestito, Amazon S3 è protetto dalle procedure di sicurezza di rete AWS globali descritte nel pilastro di sicurezza del Well-Architected AWS Framework.

L'accesso ad Amazon S3 tramite la rete avviene tramite API AWS pubblicate. I client devono supportare Transport Layer Security (TLS) 1.2. È consigliabile anche il supporto di TLS 1.3. (Per ulteriori informazioni su questa raccomandazione, consulta Connessioni AWS cloud più veloci con TLS 1.3 sul AWS Security Blog.) I client devono inoltre supportare le suite di cifratura con PFS (Perfect Forward Secrecy), ad esempio Ephemeral Diffie-Hellman (DHE) o Elliptic Curve Diffie-Hellman Ephemeral (ECDHE). Inoltre, le richieste devono essere firmate utilizzando AWS Signature V4 o AWS Signature V2, richiedendo la fornitura di credenziali valide.

Queste API possono essere invocate da qualsiasi posizione di rete. Tuttavia, Amazon S3 supporta anche le policy di accesso basate sulle risorse, che possono includere limitazioni in base all'indirizzo IP di origine. È possibile utilizzare le policy del bucket Amazon S3 per controllare l'accesso ai bucket da endpoint Virtual Private Cloud (VPC) o da VPC specifici. In effetti, questo isola l'accesso alla rete a un determinato bucket Amazon S3 solo dal VPC specifico all'interno della rete. AWS Per ulteriori informazioni, consulta Controllo dell'accesso dagli endpoint VPC con policy di bucket.

Le best practice di sicurezza seguenti gestiscono anche la sicurezza dell'infrastruttura in Amazon S3:

• Consider VPC endpoints for Amazon S3 access

• Identify and audit all your Amazon S3 buckets