amazon-web-services - 硬化S3铲斗

Question

我们将部署所需的 RPM 存储在 S3 存储桶中，我们在存储桶上托管了一个 yum 存储库，以便更轻松地更新 RPMS。

目前，我们的存储桶可通过 S3 端点 (s3.amazonaws.com) 公开访问，并向全世界开放访问，因为我们目前无法从私有(private) S3 存储库中提取 yum 包。

我们需要加强 Repo 存储桶的安全性，以启用通过 s3.amazonaws.com 端点对 S3 进行基于身份验证的访问。对此有何建议？谢谢!

`{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Allow Access From QA, dev",
            "Effect": "Deny",
            "NotPrincipal": {
                "AWS": [
                     
                    "arn:aws:iam::XXXXXXX:root"
                ]
            },
            "Action": [
                "s3:GetBucketLocation",
                "s3:ListBucket",
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::test-repo",
                "arn:aws:s3:::test-repo/*"
            ],
            "Condition": {
                "NotIpAddress": {
                    "aws:SourceIp": [
                        "X.X.X.X/32"
                     ]
                },
                "StringNotEquals": {
                    "aws:sourceVpce": "vpce-xxxxxxx"
                }
            }
        }
    ]
}
`

Answer 1

与其尝试专门添加身份验证层，不如将 VPC 端点添加到您希望能够访问 S3 存储桶的 VPC。

一旦您准备就绪(并添加到路由表)，您就可以更新 S3 存储桶的存储桶策略以添加条件以拒绝所有不是来自源 VPC 端点的流量 (aws:sourceVpce)。

这种方法的优点是您不需要对服务器本身进行任何更改。

提供更多文档 here .