限制對S3中對象的訪問

我想限制對存儲在Amazon S3存儲桶中的對象的訪問。限制對S3中對象的訪問

我想允許我們局域網上的所有用戶（他們可能會或可能沒有亞馬遜證書，因爲整個基礎架構不在AWS上）。我已經看到了關於IP地址過濾和VPC端點的一些討論。有人可以幫我嗎？我不確定我是否可以使用VPC端點，因爲我們LAN上的所有用戶都不在Amazon VPC中。

這可能嗎？

感謝

來源

2017-09-24 MgmAWS

您使用的身份驗證提供程序是什麼？ – Kannaiyan

我們正在使用ADFS – MgmAWS

如何定義「我們局域網上的用戶」？您可以通過IP地址限制訪問，或者您可以授予訪問經過身份驗證的AWS用戶您的網絡和AWS之間是否有直接連接或VPN連接？AWS如何識別您的「用戶我們的LAN「？ –

這是我會怎麼解決呢，

配置

Configure Users from a corporate directory who use identity federation with SAML. 
Create Groups 
Apply Policies to Group

這會給細粒度控制和更少的維護開銷。這不僅可以幫助您控制S3，還可以幫助您將任何將來遷移到AWS的工作負載以及對這些資源的權限。

基於IP的過濾很容易出現安全風險，並且長期運行時維護成本高，而且無法擴展。

編輯：

添加更多的文檔上面做，

集成ADFS與AWS IAM：

https://aws.amazon.com/blogs/security/enabling-federation-to-aws-using-windows-active-directory-adfs-and-saml-2-0/

IAM組：

http://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups_create.html

來源

2017-09-24 19:19:27 Kannaiyan

我們正在使用ADFS。讓我試着再解釋一下。基本上我在S3存儲桶中有一個名爲index.html的文件。這個html頁面有鏈接到S3中的其他對象。我需要的解決方案是允許LAN用戶訪問html頁面及其中的鏈接。我需要爲用戶組創建存儲桶策略並將其附加到存儲桶嗎？我可能會錯誤地陳述一些事情，因爲我是新手。謝謝 – MgmAWS

我是否需要爲此設置使用Rotute 53？ – MgmAWS

添加了如何與ADFS集成並創建IAM組。與Route 53無關。一旦你有了index.html，所有鏈接的URL必須是相對的而不是絕對的。您可以指定哪些用戶屬於IAM組，並自動處理其他所有內容。 – Kannaiyan

很可能您的公司LAN使用靜態IP地址。您可以創建S3策略，以允許基於IP地址的訪問（或拒絕）。這裏是一個很好的AWS文章：

Restricting Access to Specific IP Addresses

VPC端點是的VPC AWS服務連接（基本上使用Amazon的私人網絡，而不是通過公共互聯網的VPC端點不會幫助你與企業連接（除非您使用的是直接連接）

來源

2017-09-24 21:44:27

限制對S3中對象的訪問

回答

相關問題