Revisione dell'accesso al bucket tramite IAM Access Analyzer per S3

Lo strumento di analisi degli accessi IAM per S3 fornisce gli esiti di accesso esterno per i bucket S3 per uso generico, configurati per consentire l’accesso a chiunque su Internet (pubblico) o ad altri Account AWS, inclusi gli Account AWS esterni all’organizzazione. Per ogni bucket condiviso pubblicamente o con altri Account AWS, riceverai gli esiti sull’origine fonte e sul livello di accesso condiviso. Ad esempio, IAM Access Analyzer per S3 potrebbe mostrare che un bucket dispone di accesso in lettura o scrittura fornito tramite una lista di controllo degli accessi (ACL) del bucket, una policy del bucket, una policy del punto di accesso multi-regione o una policy del punto di accesso. Con questi risultati puoi intraprendere azioni correttive immediate e precise per ripristinare l'accesso del bucket desiderato.

La console Amazon S3 presenta un riepilogo degli accessi esterni nella console S3 accanto all’elenco dei bucket per uso generico. Nel riepilogo, è possibile fare clic sugli esiti attivi di ciascuna Regione AWS per visualizzarne i dettagli dell’esito nella pagina Strumento di analisi degli accessi IAM per S3. Gli esiti degli accessi esterni nel riepilogo degli accessi esterni vengono aggiornati automaticamente ogni 24 ore.

Quando si esamina un bucket che consente l’accesso pubblico, nella pagina Strumento di analisi degli accessi IAM per S3 è possibile bloccare tutti gli accessi pubblici al bucket con un solo clic. È consigliabile bloccare l’accesso pubblico ai bucket, a meno che non sia necessario per supportare un caso d’uso specifico. Prima di bloccare tutti gli accessi pubblici, assicurati che le applicazioni continuino a funzionare correttamente senza accesso pubblico. Per ulteriori informazioni, consulta Blocco dell'accesso pubblico allo storage Amazon S3.

Inoltre, puoi eseguire il drill-down nelle impostazioni relative alle autorizzazioni a livello di bucket per configurare i livelli di accesso granulari. Per casi d'uso specifici e verificati che richiedono l'accesso pubblico, ad esempio host di siti Web, download pubblici, condivisione tra account, puoi confermare e registrare l'intenzione del bucket di rimanere pubblico o condiviso archiviando i risultati per il bucket. Puoi consultare e modificare le configurazioni relative al bucket in qualsiasi momento. È inoltre possibile scaricare i risultati in un report CSV per scopi di verifica.

IAM Access Analyzer per S3 è disponibile senza costi aggiuntivi nella console di Amazon S3. IAM Access Analyzer per S3 è basato su AWS Identity and Access Management (IAM) IAM Access Analyzer. Per utilizzare lo strumento di analisi degli accessi IAM per S3 nella console Amazon S3, è necessario accedere alla console IAM e abilitare lo strumento di analisi degli accessi IAM su base regionale.

Per ulteriori informazioni su IAM Access Analyzer, consulta Cos'è IAM Access Analyzer? nella Guida all'utente IAM. Per ulteriori informazioni su IAM Access Analyzer per S3, rivedi le sezioni seguenti.

Revisione del riepilogo globale delle policy che forniscono l’accesso esterno ai bucket

È possibile utilizzare il riepilogo degli accessi esterni per visualizzare un riepilogo globale delle policy che forniscono l’accesso esterno ai bucket dell’Account AWS direttamente dalla console S3. Questo riepilogo consente di individuare in qualsiasi Regione AWS i bucket per uso generico Amazon S3 che permettono l’accesso pubblico o da altri Account AWS senza dover controllare le policy di ogni singola Regione AWS.

Abilitazione del riepilogo degli accessi esterni e dello strumento di analisi degli accessi IAM per S3

Per utilizzare il riepilogo degli accessi esterni e lo strumento di analisi degli accessi IAM per S3, è necessario completare le seguenti fasi.

Visualizzazione dei bucket che consentono l’accesso esterno

Il riepilogo degli accessi esterni mostra gli esiti e gli errori relativi all’accesso esterno forniti dallo strumento di analisi degli accessi IAM per S3 per i bucket per uso generico. Gli esiti archiviati e quelli relativi agli accessi non utilizzati non sono inclusi nel riepilogo, ma possono essere visualizzati nella console IAM o nello strumenti di analisi degli accessi IAM per S3. Per ulteriori informazioni, consulta Visualizza la dashboard degli esiti dello strumenti di analisi degli accessi IAM nella Guida per l’utente IAM.

Aggiornamento dei controlli degli accessi per i bucket che consentono l’accesso esterno

Informazioni fornite dallo strumento di analisi degli accessi IAM per S3

IAM Access Analyzer per S3 fornisce risultati per i bucket a cui è possibile accedere al di fuori di Account AWS. I bucket elencati in Esiti degli accessi pubblici sono accessibili da chiunque su Internet. Se IAM Access Analyzer per S3 identifica i bucket pubblici, nella parte superiore della pagina viene visualizzato un avviso che indica il numero di bucket pubblici nella regione. I bucket elencati in Esiti degli accessi multi-account vengono condivisi in modo condizionale con altri Account AWS, inclusi gli account esterni all’organizzazione.

Per ogni bucket, IAM Access Analyzer for S3 fornisce le seguenti informazioni:

Blocco di tutti gli accessi pubblici

Per bloccare tutti gli accessi a un bucket con un solo clic, puoi utilizzare il pulsante Blocca tutti gli accessi pubblici in IAM Access Analyzer per S3. Quando blocchi tutti gli accessi pubblici a un bucket, non viene concesso alcun accesso pubblico. Ti consigliamo di bloccare tutti gli accessi pubblici ai bucket, a meno che non sia necessario l'accesso pubblico per supportare un caso d'uso specifico e verificato. Prima di bloccare tutti gli accessi pubblici, assicurati che le applicazioni continuino a funzionare correttamente senza accesso pubblico.

Se non desideri bloccare tutti gli accessi pubblici al bucket, puoi modificare le impostazioni di blocco dell'accesso pubblico sulla console di Amazon S3 per configurare livelli granulari di accesso ai bucket. Per ulteriori informazioni, consulta Blocco dell'accesso pubblico allo storage Amazon S3.

In rari casi, la valutazione dello strumento di analisi degli accessi IAM per S3 e del blocco dell’accesso pubblico Amazon S3 potrebbe differire a seconda che un bucket sia pubblico o meno. Questo comportamento si verifica perché il blocco dell’accesso pubblico Amazon S3 esegue la convalida dell’esistenza delle azioni oltre a valutare l’accesso pubblico. Supponi che la policy di bucket contenga un’istruzione Action che consenta l’accesso pubblico a un’azione non supportata da Amazon S3 (ad esempio, s3:NotASupportedAction). In questo caso, il blocco dell’accesso pubblico Amazon S3 valuta il bucket come pubblico perché una tale istruzione potrebbe potenzialmente renderlo pubblico se l’azione verrà successivamente supportata. Nei casi in cui il blocco dell’accesso pubblico Amazon S3 e lo strumento di analisi degli accessi AWS IAM per S3 differiscono nelle rispettive valutazioni, è consigliabile esaminare la policy di bucket e rimuovere eventuali azioni non supportate.

Revisione e modifica dell'accesso al bucket

Se non intendevi concedere l'accesso agli Account AWS pubblici o di altro tipo, inclusi gli account esterni all'organizzazione, per rimuovere l'accesso al bucket puoi modificare l'ACL di bucket, la policy di bucket, la policy del punto di accesso multi-regione o la policy del punto di accesso. La colonna Shared through (Condiviso tramite) mostra tutte le origini dell'accesso al bucket: policy di bucket, ACL di bucket e/o policy del punto di accesso. I punti di accesso multi-regione e i punti di accesso multi-account sono riportati sotto i punti di accesso.

Archiviazione dei risultati del bucket

Se un bucket concede l'accesso agli account pubblici o ad altri Account AWS, inclusi gli account esterni all'organizzazione, per supportare un caso d'uso specifico (ad esempio un sito Web statico, i download pubblici o la condivisione tra account), puoi archiviare il risultato per il bucket. Quando archivi i risultati del bucket, confermi e registri l'intenzione che il bucket rimanga pubblico o condiviso. I risultati del bucket archiviati rimangono nell'elenco di IAM Access Analyzer per S3 in modo da sapere sempre quali bucket sono pubblici o condivisi.

Attivazione di un risultato di bucket archiviato

Dopo aver archiviato i risultati, è sempre possibile esaminarli e modificarne lo stato attivo, indicando che il bucket richiede un'altra revisione.

Visualizzazione dei dettagli del risultato

Se è necessario visualizzare ulteriori informazioni su un esito, è possibile aprire i dettagli dell’esito del bucket nello strumento di analisi degli accessi IAM sulla console IAM.

Download di un report IAM Access Analyzer per S3

Puoi scaricare i risultati del bucket come report CSV che è possibile utilizzare per scopi di audit. Il report include le stesse informazioni visualizzate in IAM Access Analyzer per S3 sulla console di Amazon S3.