¿Cómo puedo restringir el acceso a los recursos de AWS en función de la región de AWS, la dirección IP de origen o la Amazon VPC?

Descripción breve

Utiliza las políticas basadas en la identidad de IAWS Identity and Access Management (IAM) y las políticas de bucket de Amazon Simple Storage Service (Amazon S3) para denegar o controlar el acceso a los recursos de AWS. En función de la región de AWS, la IP de origen o la VPC desde la que se acceda al recurso, puedes controlar el acceso a los recursos de AWS.

Resolución

Denegación del acceso a los recursos de AWS en función de la región de AWS solicitada

Crea una política basada en la identidad con la clave de condición aws:RequestedRegion de IAM que deniegue el acceso a todas las acciones fuera de las regiones especificadas.

Para obtener más información, consulta AWS: deniega el acceso a AWS en función de la región solicitada.

Denegación del acceso a los recursos de AWS en función de la dirección IP de origen

Crea una política basada en la identidad con las claves de condición aws:SourceIp y aws:ViaAWSService de IAM que deniegue el acceso a todas las acciones que estén fuera del rango de direcciones IP especificado. Solo se admiten direcciones IP públicas o rangos de IP públicas.

Nota: La clave de condición aws:SourceIp siempre se incluye en la solicitud, excepto en las solicitudes que utilizan un punto de enlace de Amazon VPC.

Para ver un ejemplo de política de IAM y obtener más información, consulta AWS: Deniega acceso a AWS en función de la dirección IP de origen.

Control del acceso desde Amazon VPC con las políticas de bucket de Amazon S3

Crea una política de bucket de Amazon S3 con la clave de condición aws:SourceVpce de IAM para restringir el acceso a los buckets desde puntos de enlace de Amazon VPC específicos. También puedes crear una política de bucket de Amazon S3 con la clave de condición aws:SourceVpc de IAM para restringir el acceso a los buckets desde Amazon VPC específicas.

Para obtener más información Control del acceso desde puntos de enlace de la VPC con políticas de bucket.

Nota: La clave de condición aws:SourceVpc o aws:SourceVPce solo se incluye si el solicitante usa un punto de enlace de VPC para realizar la solicitud.

Información relacionada

AWS service endpoints (Puntos de enlace de AWS)

Claves de contexto de condición globales de AWS

Puntos de enlace de VPC