Welche Amazon S3-Bucket-Richtlinie verwende ich, um die AWS Config-Regel s3-bucket-ssl-requests-only einzuhalten?

Lösung

Amazon S3 erlaubt sowohl HTTP- als auch HTTPS-Anforderungen. Standardmäßig stellt Amazon S3 Anfragen über die AWS-Managementkonsole, die AWS Command Line Interface (AWS CLI) oder HTTPS.

Um die Regel s3-bucket-ssl-requests-only einzuhalten, vergewissere dich, dass deine Bucket-Richtlinien den Zugriff auf HTTP-Anforderungen ausdrücklich verweigern. Bucket-Richtlinien, die HTTPS-Anforderungen zulassen, aber HTTP-Anforderungen nicht ausdrücklich ablehnen, entsprechen möglicherweise nicht der Regel.

Um HTTP- oder HTTPS-Anforderungen in einer Bucket-Richtlinie zu ermitteln, verwende eine Bedingung, die nach dem Schlüssel aws:SecureTransport sucht. Wenn du die Schlüsselbedingung auf true (wahr) setzt, sendet Amazon S3 die Anforderung über HTTPS. Um die Regel s3-bucket-ssl-requests-only einzuhalten, erstelle eine Bucket-Richtlinie, die den Zugriff auf HTTP-Anforderungen explizit verweigert, wenn die Anforderung die Bedingung "aws:SecureTransport": "false" erfüllt.

Bucket-Richtlinie, die der Regel s3-bucket-ssl-requests-only entspricht

Die folgende Beispiel-Bucket-Richtlinie entspricht der Regel s3-bucket-ssl-requests-only. Die Richtlinie lehnt ausdrücklich alle Aktionen für den Bucket und die Objekte ab, wenn die Anforderung die Bedingung "aws:SecureTransport": "false" erfüllt:

{
    "Id": "ExamplePolicy",
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowSSLRequestsOnly",
            "Action": "s3:*",
            "Effect": "Deny",
            "Resource": [
                "arn:aws:s3:::DOC-EXAMPLE-BUCKET",
                "arn:aws:s3:::DOC-EXAMPLE-BUCKET/*"
            ],
            "Condition": {
                "Bool": {
                    "aws:SecureTransport": "false"
                }
            },
            "Principal": "*"
        }
    ]
}

Bucket-Richtlinie, die nicht der Regel s3-bucket-ssl-requests-only entspricht

Die folgende Bucket-Richtlinie entspricht nicht der Regel s3-bucket-ssl-requests-only. Anstelle einer ausdrücklichen Anweisung Deny (Verweigern) ermöglicht die Richtlinie den Zugriff auf Anforderungen, die die Bedingung "aws:SecureTransport": "true" erfüllen. Diese Anweisung ermöglicht den anonymen Zugriff auf GetObject für alle Objekte im Bucket, wenn die Anforderung HTTPS verwendet:

{
    "Id": "ExamplePolicy",
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "NOT-RECOMMENDED-FOR__AWSCONFIG-Rule_s3-bucket-ssl-requests-only",
            "Action": "s3:GetObject",
            "Effect": "Allow",
            "Resource": [
                "arn:aws:s3:::DOC-EXAMPLE-BUCKET/*"
            ],
            "Condition": {
                "Bool": {
                    "aws:SecureTransport": "true"
                }
            },
            "Principal": "*"
        }
    ]
}

Hinweis: Verwende die vorherige Bucket-Richtlinie nur, wenn dein Anwendungsfall einen anonymen Zugriff über HTTPS erfordert.

Ähnliche Informationen

So verwendest du Bucket-Richtlinien und wendest umfassende Verteidigungsmaßnahmen an, um deine Amazon S3-Daten zu schützen