Blockieren des öffentlichen Zugriffs auf Ihren Amazon-S3-Speicher

Die Amazon S3 S3-Funktion Block Public Access bietet Einstellungen für Access Points, Buckets und Konten und AWS Organizations unterstützt Sie bei der Verwaltung des öffentlichen Zugriffs auf Amazon S3 S3-Ressourcen. Standardmäßig erlauben neue Buckets, Zugriffspunkte und Objekte keinen öffentlichen Zugriff. Benutzer können jedoch Bucket-Richtlinien, Zugriffspunkt-Richtlinien oder Objektberechtigungen ändern, um öffentlichen Zugriff zu ermöglichen. S3 Block Public Access-Einstellungen überschreiben diese Richtlinien und Berechtigungen, damit Sie den öffentlichen Zugriff auf diese Ressourcen einschränken können.

Mit S3 Block Public Access können Unternehmensadministratoren, Kontoadministratoren und Bucket-Besitzer auf einfache Weise zentrale Kontrollen einrichten, um den öffentlichen Zugriff auf ihre Amazon S3 S3-Ressourcen einzuschränken, die unabhängig davon, wie die Ressourcen erstellt wurden, durchgesetzt werden.

Sie können die Einstellungen für den Block Public Access auf mehreren Ebenen verwalten: Organisationsebene (Nutzung AWS Organizations), Kontoebene sowie Bucket- und Zugriffspunktebene. Anweisungen zur Konfiguration von Public Block Access finden Sie unter Verwenden von Block Public Access.

Wenn Amazon S3 eine Anforderung zum Zugriff auf einen Bucket oder ein Objekt erhält, wird ermittelt, ob für den Bucket oder das Konto des Bucket-Eigentümers eine Block Public Access-Einstellung vorliegt. Wenn das Konto Teil einer AWS Organizations Sperrrichtlinie für öffentlichen Zugriff ist, sucht Amazon S3 auch nach Einstellungen auf Organisationsebene. Wenn die Anforderung über einen Zugriffspunkt einging, prüft Amazon S3 auch auf Block Public Access-Einstellungen für den Zugriffspunkt. Wenn eine Block Public Access-Einstellung vorhanden ist, die den angeforderten Zugriff verbietet, lehnt Amazon S3 die Anforderung ab.

Amazon S3 Block Public Access bietet vier Einstellungen. Diese Einstellungen sind voneinander unabhängig und können in beliebiger Kombination verwendet werden. Jede Einstellung kann auf einen Zugriffspunkt, einen Bucket oder ein gesamtes AWS-Konto angewendet werden. Auf Organisationsebene werden alle vier Einstellungen zusammen als einheitliche Richtlinie angewendet. Sie können einzelne Einstellungen nicht granular auswählen. Wenn sich die Block Public Access-Einstellungen für den Zugriffspunkt, den Bucket oder das Konto unterscheiden, wendet Amazon S3 die restriktivste Kombination der Zugriffspunkt-, Bucket- und Kontoeinstellungen an. Einstellungen auf Kontoebene übernehmen automatisch Richtlinien auf Organisationsebene, sofern vorhanden, und S3 verwendet die restriktivste Richtlinie zwischen Einstellungen auf Bucketebene und effektiven Einstellungen auf Kontoebene. Wenn in Ihrer Organisation beispielsweise die Richtlinie „Öffentlichen Zugriff blockieren“ aktiviert ist, in einem bestimmten Bucket aber die Option „Öffentlichen Zugriff blockieren“ auf Bucket-Ebene deaktiviert ist, ist der Bucket trotzdem geschützt, da S3 die restriktiveren Einstellungen auf Organisations- oder Kontoebene anwendet. Umgekehrt gilt: Wenn Ihre Unternehmensrichtlinie deaktiviert ist, für einen Bucket aber die Option „Öffentlicher Zugriff blockieren“ aktiviert ist, bleibt dieser Bucket durch seine Einstellungen auf Bucket-Ebene geschützt.

Wenn Amazon S3 bewertet, ob ein Vorgang durch eine Einstellung zum Sperren des öffentlichen Zugriffs verboten ist, lehnt es jede Anfrage ab, die gegen eine Unternehmensrichtlinie (die die BPA-Einstellung des Kontos durchsetzt) oder gegen einen Access Point, einen Bucket oder eine Kontoeinstellung verstößt.

Block Public Access-Einstellungen

S3 Block Public Access bietet vier Einstellungen. Sie können diese Einstellungen in beliebiger Kombination auf einzelne Zugriffspunkte, Buckets oder auf ganze AWS-Konten anwenden. Auf Organisationsebene können Sie nur alle vier Einstellungen zusammen aktivieren oder deaktivieren, indem Sie den Ansatz „Alle“ oder „Keine“ verwenden. Eine detaillierte Steuerung einzelner Einstellungen ist nicht möglich. Wenn Sie eine Einstellung auf ein Konto anwenden, gilt sie für alle Buckets und Zugriffspunkte, die dem Konto gehören. Einstellungen auf Kontoebene werden automatisch von den Unternehmensrichtlinien übernommen, sofern vorhanden. Wenn Sie eine Einstellung auf einen Bucket anwenden, gilt diese auch für alle Zugriffspunkte, die diesem Bucket zugeordnet sind.

Die Vererbung und Durchsetzung von Richtlinien funktioniert wie folgt:

Die folgende Tabelle enthält die verfügbaren Einstellungen.

Verwaltung des blockierten öffentlichen Zugriffs auf Organisationsebene

Der Block Public Access auf Organisationsebene verwendet AWS Organizations Richtlinien zur zentralen Verwaltung der öffentlichen Zugriffskontrollen in S3 in Ihrem gesamten Unternehmen. Wenn diese Richtlinien aktiviert sind, gelten sie automatisch für ausgewählte Konten und setzen individuelle Einstellungen auf Kontoebene außer Kraft.

Weitere Informationen zur Sperrung des öffentlichen Zugriffs auf Organisationsebene finden Sie unter S3-Richtlinie im AWS Organizations Benutzerhandbuch.

Durchführen von Block Public Access-Vorgänge an einem Zugriffspunkt

Verwenden Sie den AWS CLI Dienst, um Operationen zum Blockieren des öffentlichen Zugriffs an einem Access Point durchzuführens3control.

Die Bedeutung von „öffentlich“

ACLs

Amazon S3 betrachtet eine Bucket- oder Objekt-ACL als öffentlich, wenn sie Mitgliedern der vordefinierten Gruppen AllUsers oder AuthenticatedUsers irgendwelche Berechtigungen erteilt. Weitere Informationen zu vordefinierten Gruppen finden Sie unter Vordefinierte Gruppen in Amazon S3.

Bucket-Richtlinien

Bei der Evaluierung einer Bucket-Richtlinie beginnt Amazon S3 mit der Annahme, dass die Richtlinie öffentlich ist. Dann evaluiert es die Richtlinie, um festzustellen, ob sie als nicht-öffentlich eingestuft werden kann. Um als nicht öffentlich zu gelten, darf eine Bucket-Richtlinie nur Zugriff auf feste Werte (Werte, die keine Platzhalter oder eine AWS Identity and Access Management -Richtlinienvariable enthalten) gewähren, für einen oder mehrere der folgenden Werte:

Weitere Informationen zu Bucket-Richtlinien finden Sie unter Bucket-Richtlinien für Amazon S3.

{
		"Principal": "*", 
		"Resource": "*", 
		"Action": "s3:PutObject", 
		"Effect": "Allow" 
	}

{
		"Principal": "*", 
		"Resource": "*", 
		"Action": "s3:PutObject", 
		"Effect": "Allow", 
		"Condition": { "StringLike": {"aws:SourceVpc": "vpc-*"}}
	}

{
		"Principal": "*", 
		"Resource": "*", 
		"Action": "s3:PutObject", 
		"Effect": "Allow", 
		"Condition": {"StringEquals": {"aws:SourceVpc": "vpc-91237329"}}
	}

So wertet Amazon S3 eine Bucket-Richtlinie aus, die Berechtigungen sowohl für den öffentlichen wie auch für den nicht-öffentlichen Zugriff enthält

Dieses Beispiel zeigt, wie Amazon S3 eine Bucket-Richtlinie bewertet, die Berechtigungen sowohl für den öffentlichen wie auch für den nicht-öffentlichen Zugriff enthält.

Nehmen wir an, dass ein Bucket eine Richtlinie aufweist, die den Zugriff auf einen Satz an festen Prinzipalen gewährt. Nach den zuvor beschriebenen Regeln gilt diese Richtlinie nicht als öffentlich. Wenn Sie daher die Einstellung RestrictPublicBuckets aktivieren, bleibt die Richtlinie wie geschrieben in Kraft, da RestrictPublicBuckets nur für Buckets mit öffentlichen Richtlinien gilt. Wenn Sie jedoch der Richtlinie eine öffentliche Anweisung hinzufügen, wird RestrictPublicBuckets für den Bucket wirksam. Es ermöglicht nur AWS Serviceprinzipalen und autorisierten Benutzern des Kontos des Bucket-Besitzers den Zugriff auf den Bucket.

Nehmen wir beispielsweise an, dass ein Bucket, der „Konto-1“ gehört, eine Richtlinie aufweist, die Folgendes enthält:

Diese Richtlinie gilt wegen der dritten Anweisung als öffentlich. Wenn diese Richtlinie eingerichtet und RestrictPublicBuckets aktiviert ist, ermöglicht Amazon S3 den Zugriff nur von CloudTrail. Beachten Sie: Obwohl die zweite Anweisung nicht öffentlich ist, deaktiviert Amazon S3 den Zugriff durch „Account-2“. Das liegt daran, dass die dritte Anweisung die gesamte Richtlinie zu einer öffentlichen Richtlinie macht, so dass RestrictPublicBuckets gilt. Somit deaktiviert Amazon S3 den kontoübergreifenden Zugriff, obwohl die Richtlinie den Zugriff an ein bestimmtes Konto („Account-2“) delegiert. Wenn Sie aber die dritte Anweisung aus der Richtlinie entfernen, gilt die Richtlinie nicht als öffentlich, und RestrictPublicBuckets ist nicht mehr gültig. Somit erhält „Konto-2“ wieder Zugriff auf den Bucket, selbst wenn Sie RestrictPublicBuckets aktiviert lassen.

Zugriffspunkte

Amazon S3 wertet Block Public Access-Einstellungen für Zugriffspunkte geringfügig anders als für Buckets aus. Die Regeln, die Amazon S3 anwendet, um zu bestimmen, wann eine Zugriffspunkt-Richtlinie öffentlich ist, sind für Zugriffspunkte im Allgemeinen dieselben wie für Buckets, außer in den folgenden Situationen:

Verwenden von IAM Access Analyzer für S3 zur Überprüfung öffentlicher Buckets

Sie können IAM Access Analyzer for S3 verwenden, um Buckets mit Buckets ACLs, Bucket-Richtlinien oder Access Point-Richtlinien zu überprüfen, die öffentlichen Zugriff gewähren. IAM Access Analyzer for S3 warnt Sie vor Buckets, die so konfiguriert sind, dass sie allen Personen im Internet oder auf anderen Websites AWS-Konten, auch AWS-Konten außerhalb Ihrer Organisation, Zugriff gewähren. Für jeden öffentlichen oder freigegebenen Bucket erhalten Sie Ergebnisse, die die Quelle und die Ebene des öffentlichen oder freigegebenen Zugriffs melden.

In IAM Access Analyzer für S3 können Sie den gesamten öffentlichen Zugriff auf einen Bucket mit einem einzigen Klick blockieren. Sie können auch einen Drilldown in die Berechtigungseinstellungen auf Bucket-Ebene ausführen, um detaillierte Zugriffsebenen zu konfigurieren. Für bestimmte und geprüfte Anwendungsfälle, die öffentlichen oder freigegebenen Zugriff erfordern, können Sie Ihre Absicht bestätigen und aufzeichnen, dass der Bucket öffentlich oder freigegeben bleibt, indem Sie die Ergebnisse für den Bucket archivieren.

In seltenen Fällen kann es bei der Bewertung von IAM Access Analyzer für S3 und Amazon S3 Block Public Access unterschiedlich sein, wenn es einen Bucket gibt. Dieses Verhalten tritt auf, weil Amazon S3 Block Public Access zusätzlich zur Bewertung des öffentlichen Zugriffs auch das Vorhandensein von Aktionen überprüft. Angenommen, die Bucket-Richtlinie enthält eine Action Anweisung, die den öffentlichen Zugriff für eine Aktion ermöglicht, die von Amazon S3 nicht unterstützt wird (z. B.s3:NotASupportedAction). In diesem Fall bewertet Amazon S3 Block Public Access den Bucket als öffentlich, da eine solche Aussage den Bucket möglicherweise öffentlich machen könnte, wenn die Aktion später unterstützt wird. In Fällen, in denen Amazon S3 Block Public Access und IAM Access Analyzer for S3 unterschiedlich bewertet werden, empfehlen wir, die Bucket-Richtlinie zu überprüfen und alle nicht unterstützten Aktionen zu entfernen.

Weitere Informationen zu IAM Access Analyzer für S3 finden Sie unter Überprüfen des Bucket-Zugriffs mit IAM Access Analyzer für S3.

Berechtigungen

Um die Funktionen von Amazon S3 Block Public Access zu nutzen, benötigen Sie die folgenden Berechtigungen:

Verwenden von Block Public Access

Weitere Informationen zur Konfiguration von Block Public Access für Ihre AWS-Konto, Ihre Amazon S3 S3-Buckets und Ihre Access Points finden Sie in den folgenden Themen: