Политики доступа

Назначение

Политики доступа предназначены для создания правил разграничения доступа пользователей к операциям S3.

Правило политики доступа - это набор S3-операций, разрешенных или запрещенных для пользователя или группы пользователей на уровне Рабочей области или Бакета.

Управление правилами политики доступа

Для управления правилами политики доступа рабочей области перейдите на вкладку Политики доступа на странице просмотра Рабочей области.

Для управления правилами политики доступа бакета перейдите на вкладку Политики доступа на странице просмотра Бакета.

Создание правила

1. Откройте вкладку Политики доступа.
2. Перейдите в раздел «Рабочие области» → выберите нужную область → вкладка «Политика доступа». Для настройки на уровне конкретного бакета откройте «Бакеты» → выберите бакет → вкладка «Политика доступа».
3. Нажмите кнопку Добавить политику.

3. В открывшемся окне Создание правила заполните поля:
   • Наименование — введите понятное название, например: Доступ для редактирования.
   • Результат — выберите действие:
     • Разрешить — чтобы предоставить доступ;
     • Запретить — чтобы ограничить.
   • Пользователи / Группа пользователей — выберите вариант:
     • Все пользователи;
     • Выбрать пользователей / группу, чтобы указать конкретных.
   • Операции — укажите доступные действия. Чтобы разрешить все, включите чекбокс «Все операции». Полный список операций см. в таблице ниже.
   • Bucket — имя бакета, к которому применяется правило. Поле недоступно для изменения.
   • ObjectKey — определите ключ или шаблон для объектов. Используйте * для всех объектов или задайте маску, например /folder1/*.
4. Чтобы добавить связку Bucket / ObjectKey, нажмите кнопку Добавить ресурс.
5. После заполнения всех полей нажмите Создать.

При выборе группы пользователей правило будет применено к каждому пользователю данной группы. Смотрите подробнее о группе пользователей.

Использование маски

Для полей Bucket и ObjectKey работают маски:

Примеры масок

Например, маска /Folder/test.* в поле ObjectKey будет действовать для объектов, находящихся в папке Folder с названием “test” и любым форматом. Маска ???.doc будет действовать для объектов, состоящих из трех любых символов в названии файла и форматом doc.

Условия

После создания правила будет доступно добавление условия к правилу для некоторых операций.

Для добавления условия:

1. Нажмите на кнопку Добавить условие.
2. Из выпадающего списка выберите параметр и оператор.
3. Введите значение
4. Для добавления еще одного и больше условий проделайте операцию повторно.
5. Для удаления условия нажмите иконку справа от условия.
6. Нажмите кнопку Сохранить.

Время на применение политик

Политики вступают в силу с небольшой задержкой — примерно через 30 секунд после сохранения.

Пример условия

Условие: Ограничение на максимальное количество объектов, возвращаемых запросом ListObjects.
Параметр: max-keys
Оператор: Равно
Значение: 100
Результат: Пользователь может запросить не более 100 объектов за один раз.

Полный список операций и условий

Использование этих операций требует особого внимания!

Помеченные операции могут привести к безвозвратному удалению данных — как основных объектов, так и их версий — минуя механизмы восстановления (delete-marker, корзина).
Особенно это критично при работе с версионируемыми бакетами: удаление с помощью DeleteObjects может физически уничтожить конкретные версии, восстановление которых будет невозможно.
Рекомендуется предоставлять доступ к таким операциям только доверенным ролям и использовать их с полной осознанностью.

Явное указание s3:BypassGovernanceRetention для удаления объектов с ObjectLock

Операция удаления объектов в режиме ObjectLock (право s3:BypassGovernanceRetention) намеренно не входит в список “Все операции” для исключения случайного попадания привилегированной операции. Если вы хотите наделить пользователя правом удаления объектов с ObjectLock, создайте отдельное правило доступа, в котором укажите операцию s3:BypassGovernanceRetention.

S3 Bucket Policy

Помимо создания правил через административную консоль, тот же набор правил политики доступа можно устанавливать и читать через стандартный механизм S3 Bucket Policy — S3 API-методами PutBucketPolicy, GetBucketPolicy и DeleteBucketPolicy. Это позволяет управлять доступом привычными для AWS S3 инструментами, без обращения к административной консоли.

Политика передаётся в виде JSON-документа со следующими полями:

• Effect — разрешение (Allow) или запрет (Deny) доступа;
• Principal — субъект доступа (конкретные пользователи, группы или все);
• Action — разрешённые S3-операции;
• Resource — ресурс, к которому предоставляется доступ (бакет, папка или конкретный объект).

Административная консоль и S3 Bucket Policy — два интерфейса к одному и тому же набору правил: изменения, внесённые одним способом, отражаются в другом. При обновлении системы существующие правила политик доступа автоматически преобразуются в формат S3 Bucket Policy.

Невалидный документ политики

При обращении к API с невалидным JSON-документом политики возвращается ошибка 400 Invalid Arguments.

Право на получение временных ключей (STS)

Право sts:AssumeRole — на выпуск временных S3-credentials — также назначается правилом политики доступа. Подробнее смотрите STS-токены.

Редактирование правила

1. Откройте вкладку Политики доступа.
2. Нажмите на правило, которое вы хотите отредактировать
3. Внесите изменения в правило.
4. Для сохранения правила нажмите кнопку Сохранить, для отмены кнопку Отменить.

Удаление правила

1. Откройте вкладку Политики доступа.
2. Нажмите на иконку ... контекстного меню справа от названия правила.

3. Нажмите кнопку Удалить и подтвердите удаление в открывшемся окне.