限制对S3中对象的访问

我想限制对存储在Amazon S3存储桶中的对象的访问。限制对S3中对象的访问

我想允许我们局域网上的所有用户（他们可能会或可能没有亚马逊证书，因为整个基础架构不在AWS上）。我已经看到了关于IP地址过滤和VPC端点的一些讨论。有人可以帮我吗？我不确定我是否可以使用VPC端点，因为我们LAN上的所有用户都不在Amazon VPC中。

这可能吗？

感谢

来源

2017-09-24 MgmAWS

您使用的身份验证提供程序是什么？ – Kannaiyan

我们正在使用ADFS – MgmAWS

如何定义“我们局域网上的用户”？您可以通过IP地址限制访问，或者您可以授予访问经过身份验证的AWS用户您的网络和AWS之间是否有直接连接或VPN连接？AWS如何识别您的“用户我们的LAN“？ –

这是我会怎么解决呢，

配置

Configure Users from a corporate directory who use identity federation with SAML. 
Create Groups 
Apply Policies to Group

这会给细粒度控制和更少的维护开销。这不仅可以帮助您控制S3，还可以帮助您将任何将来迁移到AWS的工作负载以及对这些资源的权限。

基于IP的过滤很容易出现安全风险，并且长期运行时维护成本高，而且无法扩展。

编辑：

添加更多的文档上面做，

集成ADFS与AWS IAM：

https://aws.amazon.com/blogs/security/enabling-federation-to-aws-using-windows-active-directory-adfs-and-saml-2-0/

IAM组：

http://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups_create.html

来源

2017-09-24 19:19:27 Kannaiyan

我们正在使用ADFS。让我试着再解释一下。基本上我在S3存储桶中有一个名为index.html的文件。这个html页面有链接到S3中的其他对象。我需要的解决方案是允许LAN用户访问html页面及其中的链接。我需要为用户组创建存储桶策略并将其附加到存储桶吗？我可能会错误地陈述一些事情，因为我是新手。谢谢 – MgmAWS

我是否需要为此设置使用Rotute 53？ – MgmAWS

添加了如何与ADFS集成并创建IAM组。与Route 53无关。一旦你有了index.html，所有链接的URL必须是相对的而不是绝对的。您可以指定哪些用户属于IAM组，并自动处理其他所有内容。 – Kannaiyan

很可能您的公司LAN使用静态IP地址。您可以创建S3策略，以允许基于IP地址的访问（或拒绝）。这里是一个很好的AWS文章：

Restricting Access to Specific IP Addresses

VPC端点是的VPC AWS服务连接（基本上使用Amazon的私人网络，而不是通过公共互联网的VPC端点不会帮助你与企业连接（除非您使用的是直接连接）

来源

2017-09-24 21:44:27

限制对S3中对象的访问

回答

相关问题