Настроить ACL и Policy для S3 хранилища с помощью AWS CLI или S3cmd

Как сделать файлы в бакете публичными?

AWS CLI

Пример политики доступа, которая разрешает доступ к объектам на скачивание ("Action": "s3:GetObject") для всех ("Principal": "*") в бакете (my_bucket/*").

Важно. Такая политика доступа позволяет получать файлы по прямой ссылке, но не позволяет листить файлы в бакете.

1. Создайте JSON файл с такой политикой:

{ 
"Statement": [ 
 {
"Effect": "Allow",
"Principal": "*",
"Action": "s3:GetObject",
"Resource": "arn:aws:s3:::my_bucket/*"
 }
             ]
}

Важно: в строке "Resource" вместо my_bucket вставьте название бакета, файлы которого должны быть публичными.

2. Примените политику доступа на выбранный бакет:

aws s3api put-bucket-policy --policy file://policy.json --endpoint-url=https://s-dt2.cloud.edgecore.ru --bucket my_bucket

где:

• policy.json — путь до JSON-файла с политикой.

• s-dt2.cloud.edgecore.ru — hostname хранилища, в котором находится ваш бакет.

• my_bucket — название бакета, к которому следует применить политику.

S3cmd

{ 
"Statement": [ 
 {
"Effect": "Allow",
"Principal": "*",
"Action": "s3:GetObject",
"Resource": "arn:aws:s3:::my_bucket/*"
 }
             ]
}

s3cmd setpolicy policy_name.json s3://my_bucket/

Как скрыть директорию?

AWS CLI

Пример политики доступа, которая запрещает всем пользователям доступ к операции ("s3:GetObject") в директории бакета (my_bucket/secret/*"), но разрешает доступ к бакету (my_bucket/*").

1. Создайте JSON файл с такой политикой:

{
"Statement": [
 { 
"Effect": "Allow",
"Principal": "*",
"Action": "s3:GetObject",
"Resource": "arn:aws:s3:::my_bucket/*" 
 },
 { 
"Effect": "Deny",
"Principal": "*",
"Action": "s3:GetObject",
"Resource": "arn:aws:s3:::my_bucket/secret/*" 
 }
                     ]
}

Важно:

• В первом блоке в строке "Resource" вместо my_bucket/* укажите путь до бакета, к которому нужно разрешить доступ. 

• Во втором блоке в строке "Resource" замените my_bucket/secret/* на путь до директории, которую вы хотите скрыть. 

2. Примените политику доступа на выбранный бакет:

aws s3api put-bucket-policy --policy file://policy.json --endpoint-url=https://s-dt2.cloud.edgecore.ru --bucket my_bucket 

где:

• policy.json — путь до JSON-файла с политикой.

• s-dt2.cloud.edgecore.ru — hostname хранилища, в котором находится ваш бакет.

• my_bucket — название бакета, к которому следует применить политику.

S3cmd

{
"Statement": [
 { 
"Effect": "Allow",
"Principal": "*",
"Action": "s3:GetObject",
"Resource": "arn:aws:s3:::my_bucket/*" 
 },
 { 
"Effect": "Deny",
"Principal": "*",
"Action": "s3:GetObject",
"Resource": "arn:aws:s3:::my_bucket/secret/*" 
 }
                     ]
}

s3cmd setpolicy policy_name.json s3://my_bucket/

Как разрешить запросы с некоторых IP?

AWS CLI

Пример политики доступа, которая разрешает запросы к хранилищу с указанного IP ("IpAddress": {"aws:SourceIp": "10.0.0.0/24", "11.0.0.0/24"}).

1. Создайте JSON файл с такой политикой:

{
    "Statement": [
        {
            "Sid": "IPAllow",
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:::",
                "arn:aws:s3:::*"
            ],
            "Condition": {
                "IpAddress": {
                    "aws:SourceIp": [
                        "10.0.0.0/24",
                        "11.0.0.0/24"
                    ]
                }
            }
        }
    ]
}

Важно: в строке "Condition" замените IP-адреса 10.0.0.0/24 и 11.0.0.0/24 на желаемые.

2. Примените политику доступа на выбранный бакет:

aws s3api put-bucket-policy --policy file://policy.json --endpoint-url=https://s-dt2.cloud.edgecore.ru --bucket my_bucket 

где:

• policy.json — путь до JSON-файла с политикой.

• s-dt2.cloud.edgecore.ru — hostname хранилища, в котором находится ваш бакет.

• my_bucket — название бакета, к которому следует применить политику.

S3cmd

{
    "Statement": [
        {
            "Sid": "IPAllow",
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:::",
                "arn:aws:s3:::*"
            ],
            "Condition": {
                "IpAddress": {
                    "aws:SourceIp": [
                        "10.0.0.0/24",
                        "11.0.0.0/24"
                    ]
                }
            }
        }
    ]
}

s3cmd setpolicy policy_name.json s3://my_bucket/

Как разрешить запросы с сайта?

AWS CLI

Пример политики доступа, которая разрешает только запросы с сайтов, указанных в политике доступа ("StringLike":{"aws:Referer":["http://www.example.com/*","http://example.com/*"]}).

1. Создайте JSON файл с такой политикой:

{
"Statement":
 [
  {
"Sid":"Allow get requests originating from www.example.com and example.com.",
"Effect":"Allow",
"Principal":"*",
"Action":["s3:GetObject","s3:GetObjectVersion"],
"Resource":"arn:aws:s3:::/*",
"Condition":
     {
"StringLike":{"aws:Referer":["http://www.example.com/*","http://example.com/*"]}
     }
   }
 ]
}

Важно: в строке "StringLike" замените http://www.example.com/ и http://example.com/ на желаемые сайты, с которых нужно разрешить доступ к бакету.

2. Примените политику доступа на выбранный бакет:

aws s3api put-bucket-policy --policy file://policy.json --endpoint-url=https://s-dt2.cloud.edgecore.ru --bucket my_bucket 

где:

• policy.json — путь до JSON-файла с политикой.

• s-dt2.cloud.edgecore.ru — hostname хранилища, в котором находится ваш бакет.

• my_bucket — название бакета, к которому следует применить политику.

S3cmd

{
"Statement":
 [
  {
"Sid":"Allow get requests originating from www.example.com and example.com.",
"Effect":"Allow",
"Principal":"*",
"Action":["s3:GetObject","s3:GetObjectVersion"],
"Resource":"arn:aws:s3:::*",
"Condition":
     {
"StringLike":{"aws:Referer":["http://www.example.com/*","http://example.com/*"]}
     }
   }
 ]
}

s3cmd setpolicy policy_name.json s3://my_bucket/

Как дать возможность листить бакет?

AWS CLI

Пример команды, которая позволяет любым анонимным пользователям листить файлы в бакете, но не дает им возможности читать/записывать эти файлы.

aws s3api put-bucket-acl --bucket my_bucket --acl public-read --endpoint-url=https://s-dt2.cloud.edgecore.ru

где:

• policy.json — путь до JSON-файла с политикой.

• my_bucket — название бакета, к которому следует применить политику.

• s-dt2.cloud.edgecore.ru — hostname хранилища, в котором находится ваш бакет.

S3cmd

s3cmd setacl s3://my_bucket/ --acl-grant=read

Как разрешить доступ другому пользователю?

AWS CLI

Пример политики, которая разрешает доступ пользователю-хранилищу к бакету.

В S3-хранилище EdgeЦентр пользователем является отдельное хранилище, созданное в вашем или стороннем аккаунте.

Например, вы можете дать доступ пользователю-хранилищу с названием 1234-storage к вашему бакету my_bucket в хранилище 1000-my-storage.

1. Определите название пользователя-хранилища, которому необходим доступ к вашему бакету. Название можно найти в разделе Детали.

2. Создайте JSON файл с такой политикой:

{ 
"Statement":[ 
  { 
"Effect":"Allow", 
"Principal": {"AWS":["arn:aws:iam:::user/1234-storage"]}, 
"Action":["s3:GetObject","s3:ListBucket"], 
"Resource":["arn:aws:s3:::my_bucket/*", "arn:aws:s3:::my_bucket"] 
  } 
            ] 
}

Важно:

• В строке "Principal" измените название пользователя 1234-storage на название пользователя-хранилища, которому хотите дать доступ к бакету. Вы получили его на шаге №1.

• В строке "Resource" вместо my_bucket вставьте название бакета, к которому нужно разрешить доступ.

3. Примените политику на выбранный бакет:

aws s3api put-bucket-policy --policy file://policy.json --endpoint-url=https://s-dt2.cloud.edgecore.ru --bucket my_bucket