amazon-s3 - 通过 VPN 的 Amazon S3

Question

是否可以在不使用弹性云 EC2 的情况下直接建立与 Amazon S3 的 VPN 连接？

Answer 1

由于 S3 存储桶名称是全局唯一的，并且可以使用唯一的 url 通过 http 进行访问，因此无法在网络级别隔离 S3，并且需要使用存储桶策略、IAM 策略或访问控制列表进行访问控制。您还可以使用存储桶策略将可以访问您的存储桶的源 Ip 列入白名单。

{
  "Version": "2012-10-17",
  "Id": "S3PolicyId1",
  "Statement": [
    {
      "Sid": "IPAllow",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "s3:*",
      "Resource": "arn:aws:s3:::examplebucket/*",
      "Condition": {
         "IpAddress": {"aws:SourceIp": "54.240.143.0/24"},
         "NotIpAddress": {"aws:SourceIp": "54.240.143.188/32"} 
      } 
    } 
  ]
}

S3 中提供的访问控制系统可增强访问 S3 时的安全性。此外，传输中的数据使用 https 进行加密，您还可以选择对驻留在 S3 中的对象利用静态加密来进一步强化安全性。

此外，还有多种方法可以根据 S3 访问客户端位置的导出限制(例如本地、VPC 私有(private)/公共(public)子网等)建立与 S3 的连接。

• 在没有导出限制的情况下通过互联网访问 S3。
• 使用VPC Endpoints to S3如果您从 AWS VPC 访问 S3。
• 从本地到 AWS 数据中心的直接连接，通过专用的专用网络连接访问 S3。

遗憾的是，由于 S3 不提供网络分段功能，因此无法使用与 S3 的 VPN 连接，从而限制网络级别的访问。