Endpoint gateway per Amazon S3

Puoi accedere ad Amazon S3 dal tuo VPC utilizzando gli endpoint VPC del gateway. Dopo aver creato l'endpoint gateway, puoi aggiungerlo come destinazione nella tabella di instradamento per il traffico in transito dal VPC ad Amazon S3.

L'utilizzo di endpoint gateway non comporta costi supplementari.

Amazon S3 supporta sia gli endpoint gateway che gli endpoint di interfaccia. Con un endpoint gateway, puoi accedere ad Amazon S3 dal tuo VPC senza richiedere un gateway Internet o un dispositivo NAT per il tuo VPC e senza costi aggiuntivi. Tuttavia, gli endpoint gateway non consentono l'accesso da reti locali, da VPC peer in altre AWS regioni o tramite un gateway di transito. Per questi casi, è necessario utilizzare un endpoint di interfaccia, disponibile a un costo aggiuntivo. Per ulteriori informazioni, consulta Tipi di endpoint VPC per Amazon S3 nella Guida per l'utente di Amazon S3.

Considerazioni

DNS privato

Puoi configurare un DNS privato per ottimizzare i costi quando crei sia un endpoint gateway che un endpoint di interfaccia per Amazon S3.

Route 53 Resolver

Amazon fornisce un server DNS chiamato il Route 53 Resolver per il tuo VPC. Il Route 53 Resolver risolve automaticamente i nomi di dominio VPC locali e i record in zone ospitate private. Tuttavia, non puoi utilizzare il Route 53 Resolver dall'esterno del tuo VPC. Route 53 fornisce gli endpoint e le regole del resolver in modo da poter utilizzare il Route 53 Resolver dall'esterno del VPC. Un endpoint del resolver in entrata inoltra le query DNS dalla rete on-premise al Route 53 Resolver. Un endpoint del resolver in uscita inoltra le query DNS dal Resolver Route 53 alla rete on-premise.

Quando configuri l'endpoint di interfaccia per Amazon S3 per utilizzare il DNS privato solo per l'endpoint del resolver in entrata, creiamo un endpoint del resolver in entrata. L'endpoint del resolver in entrata risolve le query DNS verso Amazon S3 dagli indirizzi IP on-premise a quelli privati dell'endpoint di interfaccia. Aggiungiamo anche i record ALIAS per il Resolver Route 53 alla zona ospitata pubblica per Amazon S3, in modo che le query DNS provenienti dal tuo VPC vengano risolte verso gli indirizzi IP pubblici di Amazon S3, che indirizzano il traffico verso l'endpoint del gateway.

DNS privato

Se configuri il DNS privato per l'endpoint di interfaccia per Amazon S3 ma non configuri il DNS privato solo per l'endpoint del resolver in entrata, le richieste provenienti sia dalla rete on-premise che dal VPC utilizzano l'endpoint di interfaccia per accedere ad Amazon S3. Pertanto, paghi per utilizzare l'endpoint dell'interfaccia per il traffico proveniente dal VPC, anziché utilizzare l'endpoint gateway senza costi aggiuntivi.

DNS privato solo per l'endpoint del resolver in entrata

Se configuri il DNS privato solo per l'endpoint del resolver in entrata, le richieste provenienti dalla rete on-premise utilizzano l'endpoint di interfaccia per accedere ad Amazon S3 e le richiese provenienti dal tuo VPC utilizzano l'endpoint del gateway per accedere ad Amazon S3. Pertanto, ottimizzi i costi, perché paghi per utilizzare l'endpoint dell'interfaccia solo per il traffico che non può utilizzare l'endpoint del gateway.

Configura il DNS privato

Puoi configurare il DNS privato per un endpoint di interfaccia per Amazon S3 quando lo crei o dopo averlo creato. Per ulteriori informazioni, vedere Creare un endpoint VPC (configurazione durante la creazione) o Abilitazione dei nomi DNS privati (configurazione dopo la creazione).

Crea un endpoint gateway

Utilizza la procedura seguente per creare un endpoint gateway che si connette ad Amazon S3.

Controllo dell'accesso tramite le policy di bucket

Puoi utilizzare le policy dei bucket per controllare l'accesso ai bucket da endpoint, VPC, intervalli di indirizzi IP specifici e. Account AWS Questi esempi presuppongono che vi siano anche dichiarazioni di policy che consentono l'accesso richiesto per i casi d'uso.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow-access-to-specific-VPCE",
      "Effect": "Deny",
      "Principal": "*",
      "Action": ["s3:PutObject", "s3:GetObject", "s3:DeleteObject"],
      "Resource": ["arn:aws:s3:::bucket_name",
                   "arn:aws:s3:::bucket_name/*"],
      "Condition": {
        "StringNotEquals": {
          "aws:sourceVpce": "vpce-1a2b3c4d"
        }
      }
    }
  ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow-access-to-specific-VPC",
      "Effect": "Deny",
      "Principal": "*",
      "Action": ["s3:PutObject", "s3:GetObject", "s3:DeleteObject"],
      "Resource": ["arn:aws:s3:::example_bucket",
                   "arn:aws:s3:::example_bucket/*"],
      "Condition": {
        "StringNotEquals": {
          "aws:sourceVpc": "vpc-111bbb22"
        }
      }
    }
  ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow-access-to-specific-VPC-CIDR",
      "Effect": "Deny",
      "Principal": "*",
      "Action": ["s3:PutObject", "s3:GetObject", "s3:DeleteObject"],
      "Resource": ["arn:aws:s3:::bucket_name",
                   "arn:aws:s3:::bucket_name/*"],
      "Condition": {
        "NotIpAddress": {
          "aws:VpcSourceIp": "172.31.0.0/16"
        }
      }
    }
  ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow-access-to-bucket-in-specific-account",
      "Effect": "Deny",
      "Principal": "*",
      "Action": ["s3:GetObject", "s3:PutObject", "s3:DeleteObject"],
      "Resource": "arn:aws:s3:::*",
      "Condition": {
        "StringNotEquals": {
          "s3:ResourceAccount": "111122223333"
        }
      }
    }
  ]
}

Associazione delle tabelle di instradamento

Puoi modificare le tabelle di instradamento associate all'endpoint gateway. Quando associ una tabella di instradamento, viene aggiunta automaticamente una route che indirizza il traffico destinato per il servizio all'interfaccia di rete dell'endpoint. Quando dissoci una tabella di instradamento, la route dell'endpoint viene rimossa automaticamente.

Modifica della policy di endpoint VPC

Puoi modificare la policy di endpoint per un endpoint gateway, che controlla l'accesso ad Amazon S3 dal VPC, tramite l'endpoint. La policy predefinita consente l'accesso completo. Per ulteriori informazioni, consulta Policy di endpoint.

Di seguito sono riportati esempi di policy dell'endpoint per accedere ad Amazon S3.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow-access-to-specific-bucket",
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
         "s3:ListBucket",
         "s3:GetObject",
         "s3:PutObject"
      ],
      "Resource": [
        "arn:aws:s3:::bucket_name",
        "arn:aws:s3:::bucket_name/*"
      ]
    }
  ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow-access-to-specific-IAM-role",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "ArnEquals": {
          "aws:PrincipalArn": "arn:aws:iam::111122223333:role/role_name"
        }
      }
    }
  ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow-callers-from-specific-account",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalAccount": "111122223333"
        }
      }
    }
  ]
}

Eliminazione di un endpoint gateway

Quando un endpoint gateway non è più necessario, è possibile eliminarlo. L'eliminazione di un endpoint gateway comporta la rimozione della route dell'endpoint dalle tabelle di instradamento della sottorete.

Non è possibile eliminare un endpoint gateway se è abilitato il DNS privato.