Come posso utilizzare endpoint VPC per accedere a bucket Amazon S3 da istanze Amazon EC2?

Risoluzione

Nota: se ricevi errori quando esegui i comandi dell'Interfaccia della linea di comando AWS (AWS CLI), consulta Risoluzione degli errori per AWS CLI. Inoltre, assicurati di utilizzare la versione più recente di AWS CLI.

Configura l'endpoint VPC in modo da accedere in sicurezza al bucket S3 da un'istanza EC2

Per accedere ad Amazon S3, puoi utilizzare un endpoint di interfaccia o un endpoint gateway senza gateway Internet o dispositivo NAT. Per ulteriori informazioni, consulta Choosing Your VPC Endpoint Strategy for Amazon S3 (Scelta della strategia degli endpoint VPC per Amazon S3).

Per creare e configurare un endpoint gateway S3, consulta Crea un endpoint gateway.

Per creare un endpoint di interfaccia S3, consulta Creare un endpoint VPC. Se utilizzi un endpoint di interfaccia per connetterti al bucket S3, devi passare il parametro url dell'endpoint negli ambienti AWS CLI o AWS SDK. Se ti connetti tramite HTTP(S), devi utilizzare l'URL dell'endpoint di interfaccia come nome host. Per ulteriori informazioni, consulta Accesso ai bucket, ai punti di accesso e alle operazioni API dell'Amazon S3 Control dagli endpoint di interfaccia S3.

Esempio di URL di un endpoint di interfaccia verso l'endpoint di un bucket S3:

your-resource-name.vpce-0e25b8cdd720f900e-argc85vg.s3.region.vpce.amazonaws.com

Nota: sostituisci your-resource-name con il nome della risorsa e region con la tua Regione AWS.

Per verificare la connessione al bucket S3, esegui il comando AWS CLI ls:

aws s3 ls s3://doc-example-bucket --endpoint-url https://bucket.vpce-0e25b8cdd720f900e-argc85vg.s3.region.vpce.amazonaws.com

Nota: sostituisci doc-example-bucket con il nome del tuo bucket e region con la tua Regione.

Limita l'accesso pubblico e utilizza i ruoli IAM per proteggere l'accesso ai bucket S3

Se non connetti il bucket in modo che provenga dall'endpoint VPC, ricevi un errore "Access denied". Per applicare al bucket S3 connessioni private VPC, collega la seguente policy del bucket AWS Identity and Access Management (AWS IAM):

{
"Version": "2012-10-17",
   "Id": "DenyNonVPCeAccess",
   "Statement": [
     {
"Sid": "Access-to-specific-VPCE-only",
       "Principal": "*",
       "Action": "s3:*",
       "Effect": "Deny",
       "Resource": ["arn:aws:s3:::doc-example-bucket",
                    "arn:aws:s3:::doc-example-bucket/*"],
       "Condition": {
"StringNotEquals": {
"aws:SourceVpce": "vpce-1a2b3c4d"
         }
       }
     }
   ]
}

Nota: sostituisci doc-example-bucket con il nome del tuo bucket.

Risolvi i problemi di connettività tra istanze EC2 e bucket S3 con gli endpoint VPC

Se si verifica un errore di timeout della connessione dall'endpoint VPC, utilizza Reachability Analyzer per analizzare il percorso di connessione. Per ulteriori informazioni, consulta Getting started with Reachability Analyzer (Utilizzo di Reachability Analyzer).

Assicurati di inserire nell'URL la risorsa dell'endpoint corretta quando utilizzi l'endpoint di interfaccia VPC. Verifica che il gruppo di sicurezza dell'endpoint di interfaccia consenta il traffico in entrata sulla porta 443.

Risolvi gli errori 403 Access Denied

Se apporti più modifiche alla policy degli endpoint VPC contemporaneamente, potresti ricevere errori 403 "Access Denied".

Possono essere necessari 1-2 minuti prima che le modifiche alla policy degli endpoint VPC abbiano effetto. Attendi l'aggiornamento della policy prima di apportare ulteriori modifiche o testare l'accesso.

Informazioni correlate

Controllo dell'accesso dagli endpoint VPC con policy di bucket

How do I check if my Amazon S3 traffic is going through a gateway Amazon VPC endpoint or an interface Amazon VPC endpoint? (Come posso verificare se il mio traffico Amazon S3 passa attraverso un endpoint Amazon VPC gateway o un endpoint Amazon VPC di interfaccia?)