Доступ в бакет с помощью сервисного подключения из Yandex Virtual Private Cloud

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

1. Посмотрите описание команды CLI для создания сервисного подключения:

   yc vpc private-endpoint create --help
   

2. Создайте сервисное подключение к Object Storage в каталоге по умолчанию:

   yc vpc private-endpoint create \
     --name <имя_сервисного_подключения> \
     --description "<описание_сервисного_подключения>" \
     --network-name <имя_сети> \
     --object-storage 
   

   Где:

   • --name — (опционально) имя сервисного подключения.
   • --description — (опционально) описание сервисного подключения.
   • --network-name — имя облачной сети, в которой будет создано сервисное подключение. Также вы можете использовать идентификатор сети в параметре --network-id.
   • --object-storage — сервисное подключение к Object Storage. Другие типы сервисных подключений пока не доступны.

   При создании сервисного подключения можно использовать дополнительные параметры:

   • --address-spec — (опционально) параметры в формате ключ=значение для внутреннего IP-адреса, который будет назначен сервисному подключению:

     • address — (опционально) внутренний IP-адрес для сервисного подключения. Если IP-адрес не указан, он будет назначен случайно из диапазона указанной подсети.

     • subnet-id — (опционально) идентификатор подсети, из которой будет взят IP-адрес для сервисного подключения. Если подсеть не указана, внутренний IP-адрес будет назначен случайно из диапазона одной из подсетей облачной сети.

       Примечание

       Чтобы создать сервисное подключение, в вашей сети должна быть хотя бы одна подсеть.

   • --private-dns-records-enabled — (опционально) параметр для создания дополнительных ресурсных записей в DNS для переопределения публичного FQDN сервиса, к которому создается подключение.

     В зависимости от того, применен ли параметр, будут автоматически созданы следующие ресурсные записи для доступа в Object Storage:

     • параметр не используется:

       Имя	Тип	Значение
       storage.pe.yandexcloud.net	A	<внутренний_IP-адрес_сервисного_подключения>
       *.storage.pe.yandexcloud.net	A	<внутренний_IP-адрес_сервисного_подключения>

     • параметр используется:

       Имя	Тип	Значение
       storage.pe.yandexcloud.net	A	<внутренний_IP-адрес_сервисного_подключения>
       *.storage.pe.yandexcloud.net	A	<внутренний_IP-адрес_сервисного_подключения>
       storage.yandexcloud.net	A	<внутренний_IP-адрес_сервисного_подключения>
       *.storage.yandexcloud.net	A	<внутренний_IP-адрес_сервисного_подключения>

3. Проверьте, что сервисное подключение создалось:

   yc vpc private-endpoint list
   

   Результат выполнения команды:

   +----------------------+-------------+--------------------------------+
   |          ID          |    NAME     |          DESCRIPTION           |
   +----------------------+-------------+--------------------------------+
   | enpd7rq************* | s3-vpc-link | Private Endpoint to the Object |
   |                      |             | Storage                        |
   +----------------------+-------------+--------------------------------+
   

1. В консоли управления выберите каталог, в котором вы настроили сервисное подключение VPC.

2. Выберите сервис Object Storage.

3. Выберите бакет в списке.

4. Перейдите на вкладку Безопасность в меню слева.

5. В верхней части экрана перейдите на вкладку Политика доступа.

6. Нажмите кнопку Настроить доступ.

7. Введите идентификатор политики доступа, например private-endpoint-policy.

8. Настройте правило:

   1. Введите идентификатор правила, например private-endpoint-rule.

   2. Настройте параметры правила:

      • Результат — разрешить.

      • Принцип выбора — включить пользователей.

      • Пользователь — все пользователи.

      • Действие — выберите опцию Все действия.

      • Ресурс — <имя_бакета>/*.

        Нажмите кнопку Добавить ресурс и введите <имя_бакета>.

        Примечание

        Ресурс бакета не включает в себя ресурсы всех его объектов. Чтобы правило в политике доступа относилось к бакету и всем объектам, их нужно указать как отдельные ресурсы: например, samplebucket и samplebucket/*.

   3. Добавьте условие для правила:

      • В поле Ключ выберите private-endpoint-id.
      • В поле Оператор выберите StringEquals.
      • В поле Значение укажите идентификатор сервисного подключения (Private Endpoint), например enpd7rq1s3f5********.

9. Нажмите кнопку Сохранить.

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

1. Создайте дополнительные ресурсные записи в DNS для переопределения публичного FQDN сервиса, к которому создается подключение. Для этого включите специальный параметр сервисного подключения VPC:

   yc vpc private-endpoint update \
     --id <идентификатор_сервисного_подключения> \
     --private-dns-records-enabled
   

2. Измените настройки бакета, указав параметры для включения доступа только из сервисных подключений VPC:

   yc storage bucket update \
     --name <имя_бакета> \
     --enable-private-endpoints true \
     --private-endpoints <идентификатор_сервисного_подключения>
   

   Где:

   • --name — имя бакета.

   • --enable-private-endpoints — параметр для включения доступа к бакету только из сервисных подключений VPC. Если параметр не указан, доступ к бакету будет возможен как из публичной сети, так и из сервисных подключений VPC.

   • --private-endpoints — список идентификаторов сервисных подключений VPC, доступ из которых будет разрешен.

     Важно

     Если идентификаторы сервисных подключений VPC не указаны, доступ к бакету будет невозможен отовсюду. Однако останется возможность выключить ограничения на доступ только из сервисных подключений VPC.

Измените настройки бакета:

yc storage bucket update \
  --name <имя_бакета> \
  --enable-private-endpoints false

Где:

• --name — имя бакета.

• --enable-private-endpoints — параметр для включения доступа к бакету только из сервисных подключений VPC.

  Совет

  После того как ограничение на доступ только из сервисных подключений VPC снято, список сервисных подключений, переданный ранее в параметре --private-endpoints, сохраняется в настройках бакета. При повторном ограничении доступа нет необходимости передавать список еще раз.