Политики бакета

Политика бакета – это набор правил, определяющих, кто и какие действия может выполнять с объектами в бакете.

При помощи политик бакета возможно:

• разрешать или запрещать операции с объектами в бакете для конкретных пользователей, групп пользователей или для любого пользователя из Интернета;
• определять списки разрешенных и запрещенных операций c объектами в бакете;
• устанавливать ограничения доступа по указанным критериям (например, по диапазону IP-адресов или времени доступа).

Используя политики бакета, вы сможете:

• контролировать, кто может взаимодействовать с данными, снижая риск несанкционированного доступа;
• гибко настраивать доступ к бакету для различных сценариев, включая доступ по IP-адресу, времени или другим условиям;
• обеспечить соблюдение требований безопасности и конфиденциальности данных.

Политика бакета представляет собой набор правил, котороые определяются в формате JSON:

1
{
2
    "Version": "2012-10-17",
3
    "Statement": [
4
        {
5
            "Effect": "Allow (разрешить) или Deny (запретить)",
6
            "Principal": "Кто получит доступ",
7
            "Action": "Действия, которые разрешены или запрещены",
8
            "Resource": "Ресурсы, к которым применяется политика",
9
            "Condition": {
10
                "Условия, при которых применяется политика"
11
            }
12
        }
13
    ]
14
}

В состав правила входят следующие элементы:

В рамках политик можно разрешать или запрещать следующие действия:

В политиках можно определять условия, при которых они будут применяться. В состав каждого условия входят:

• ключ — переменная, относительно которой проверяется условие;
• оператор, которые определяет, как применяется правило к значению ключа (например, StringEquals, StringLike, NumericGreaterThan и т.п.);
• значение, с которым сравнивается ключ (это может быть строка, число, IP-адрес и т.п.).

Операторы сравнивают значение из запроса к ресурсу со значением ключа.

Числовые операторы использутся для сравнения числа из запроса с числом, указанным в ключе.

Строковые операторы использутся для сравнения строки из запроса со строкой, указанной в ключе.

Операторы даты и времени используются для сравнения даты и времени из запроса с датой и временем, указанными в ключе.

Операторы IP-адресов используются для сравнения IP-адреса или диапазона адресов из запроса с IP-адресом или диапазоном адресов из ключа.

Оператор Bool сравнивает логическое значений (true или false) со значением из ключа. Если значения совпадают, условие удовлетворяется.

С помощью оператора IfExists можно сделать условия правила более гибким. Его можно добавить к любому другому оператору, кроме Null — например, StringLikeIfExists или BoolIfExists. Он указывает, что проверка условия должна игнорироваться, если ключ условия отсутствует в запросе.

Оператор Nullиспользуется, чтобы проверить наличие ключа из запроса в условии. Если ключ отсутствует, результат оператора принимает значение true, если присутствует и для него задано значение — false.

1
{
2
  "Version": "2012-10-17",
3
  "Statement": [
4
    {
5
      "Effect": "Allow",
6
      "Principal": "*",
7
      "Action": "s3:GetObject",
8
      "Resource": "arn:aws:s3:::bucket/*"
9
    }
10
  ]
11
}

1
{
2
  "Version": "2012-10-17",
3
  "Statement": [
4
    {
5
      "Effect": "Allow",
6
      "Principal": {
7
        "AWS": "users/user"
8
      },
9
      "Action": "s3:*",
10
      "Resource": "arn:aws:s3:::bucket/*"
11
    }
12
  ]
13
}

1
{
2
  "Version": "2012-10-17",
3
  "Statement": [
4
    {
5
      "Effect": "Allow",
6
      "Principal": "*",
7
      "Action": "s3:GetObject",
8
      "Resource": "arn:aws:s3:::bucket/*",
9
      "Condition": {
10
        "IpAddress": {
11
          "aws:SourceIp": "192.0.2.0/24"
12
        }
13
      }
14
    }
15
  ]
16
}

1
  "Version": "2012-10-17",
2
  "Statement": [
3
    {
4
      "Effect": "Allow",
5
      "Principal": "*",
6
      "Action": "s3:GetObject",
7
      "Resource": "arn:aws:s3:::bucket/*",
8
      "Condition": {
9
        "DateGreaterThan": {
10
          "aws:CurrentTime": "2024-12-19T00:00:00Z"
11
        },
12
        "DateLessThan": {
13
          "aws:CurrentTime": "2024-12-25T23:59:59Z"
14
        }
15
      }
16
    }
17
  ]
18
}

1
{
2
  "Version": "2012-10-17",
3
  "Statement": [
4
    {
5
      "Effect": "Deny",
6
      "Principal": "*",
7
      "Action": "s3:DeleteObject",
8
      "Resource": "arn:aws:s3:::bucket/*"
9
    }
10
  ]
11
}