Политики S3-хранилища

Политики контейнеров S3 позволяют защитить доступ к объектам в контейнерах, предоставляя к ним доступ только пользователям с соответствующими разрешениями.

Чтобы настроить политику создайте файл описывающий политику.

nano bucket-policy.json

Добавьте описание политики, например

{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": "*",
"Action": "s3:GetObject",
"Resource": "arn:aws:s3:::your-bucket-name/*"
}
]
}

Применить политику:

aws s3api put-bucket-policy --bucket your-bucket-name --policy file://bucket-policy.json

Проверить текущую политику:

aws s3api get-bucket-policy --bucket your-bucket-name

Удалить политику:

aws s3api delete-bucket-policy --bucket your-bucket-name

---

Примеры популярных политик

Позволяет всем в интернете читать файлы по прямым ссылкам:

{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "PublicRead",
"Effect": "Allow",
"Principal": "*",
"Action": "s3:GetObject",
"Resource": "arn:aws:s3:::your-bucket-name/*"
}
]
}

Политика, которая запрещает любой доступ неаутентифицированным пользователям:

{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "DenyPublicRead",
"Effect": "Deny",
"Principal": "*",
"Action": "s3:GetObject",
"Resource": "arn:aws:s3:::your-bucket-name/*",
"Condition": {
"Bool": {
"aws:SecureTransport": "false"
}
}
}
]
}

Доступ из указанных IP:

{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "IPAllow",
"Effect": "Allow",
"Principal": "*",
"Action": "s3:GetObject",
"Resource": "arn:aws:s3:::your-bucket-name/*",
"Condition": {
"IpAddress": { "aws:SourceIp": "203.0.113.0/24" }
}
}
]
}

Блокирует небезопасные подключения:

{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "DenyInsecureTransport",
"Effect": "Deny",
"Principal": "*",
"Action": "s3:*",
"Resource": [
"arn:aws:s3:::your-bucket-name",
"arn:aws:s3:::your-bucket-name/*"
],
"Condition": {
"Bool": { "aws:SecureTransport": "false" }
}
}
]
}

---

Управление жизненным циклом хранилища

Жизненный цикл объектов в бакете — это автоматические действия, которые происходят с объектами через определённое время.

Чтобы настроить жизненный цикл создайте файл:

nano lifecycle.json

Добавьте:

{
"Rules": [
{
"ID": "DeleteAfter30Days",
"Prefix": "",
"Status": "Enabled",
"Expiration": {
"Days": 30
}
}
]
}

Приметь действия к корзине:

aws s3api put-bucket-lifecycle-configuration \
--bucket your-bucket-name \
--lifecycle-configuration file://lifecycle.json

Проверить текущую конфигурацию:

aws s3api get-bucket-lifecycle-configuration \
--bucket your-bucket-name

Удалить lifecycle-конфигурацию:

aws s3api delete-bucket-lifecycle \
--bucket your-bucket-name

---