Comment puis-je restreindre l'accès aux ressources AWS en fonction de la région AWS, de l'adresse IP source ou du VPC Amazon ?

Brève description

Utilisez les stratégies basées sur l'identité IAWS Identity and Access Management (IAM) et les stratégies de compartiment Amazon Simple Storage Service (Amazon S3) pour refuser ou contrôler l'accès aux ressources AWS. En fonction de la région AWS, de l'adresse IP source ou du VPC à partir duquel la ressource est accessible, vous pouvez contrôler l'accès aux ressources AWS.

Résolution

Refuser l'accès aux ressources AWS en fonction de la région AWS demandée

Créez une stratégie basée sur l'identité à l'aide de la clé de condition aws:RequestedRegion qui refuse l'accès à toutes les actions en dehors des régions spécifiées.

Pour plus d’informations, consultez la page AWS : Refus d'accès à AWS en fonction de la région demandée.

Refuser l'accès aux ressources AWS en fonction de l'adresse IP source

Créez une stratégie basée sur l'identité à l'aide des clés de condition aws:SourceIp et aws:ViaAWSService qui refuse l'accès à toutes les actions situées en dehors de la plage d'adresses IP spécifiée. Seules les adresses IP publiques ou les plages d'adresses IP publiques sont prises en charge.

Remarque : La clé de condition aws:SourceIp est toujours incluse dans la requête, sauf pour les requêtes qui utilisent un point de terminaison de VPC Amazon.

Pour obtenir un exemple de stratégie IAM et plus d'informations, consultez la section AWS : Refus d'accès à AWS en fonction de l'adresse IP source.

Contrôler l'accès depuis Amazon VPC avec les stratégies de compartiment Amazon S3

Créez une stratégie de compartiment Amazon S3 avec la clé de condition aws:SourceVpce pour restreindre l'accès aux compartiments à partir de points de terminaison de VPC Amazon spécifiques. Vous pouvez également créer une stratégie de compartiment Amazon S3 à l'aide de la clé de condition IAM aws:SourceVpc pour restreindre l'accès aux compartiments de certains VPC Amazon.

Pour plus d'informations, consultez la section Contrôle de l'accès depuis les points de terminaison de VPC à l'aide de stratégies de compartiment.

Remarque : La clé de condition aws:SourceVpc ou aws:SourceVpce n'est incluse que si le demandeur utilise un point de terminaison de VPC pour effectuer la requête.

Informations connexes

Points de terminaison de service AWS

Clés de contexte de condition globale AWS

Points de terminaison de VPC