Назначить политику доступа в Object Storage для сервисного подключения

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

1. Посмотрите описание команды CLI для изменения настроек бакета:

   yc storage bucket update --help
   

2. Опишите конфигурацию политики доступа в виде схемы данных формата JSON:

   {
     "Version": "2012-10-17",
     "Statement": {
       "Effect": "Allow",
       "Principal": "*",
       "Action": "*",
       "Resource": [
         "arn:aws:s3:::<имя_бакета>/*",
         "arn:aws:s3:::<имя_бакета>"
       ],
       "Condition": {
         "StringEquals": {
           "yc:private-endpoint-id": "<идентификатор_подключения>"
         }
       }
     }
   }
   

   Где:

   • <имя_бакета> — имя бакета в Object Storage, к которому нужно применить политику доступа, например my-s3-bucket.
   • <идентификатор_подключения> — идентификатор сервисного подключения (Private Endpoint), например enpd7rq1s3f5********.

3. Сохраните готовую конфигурацию в файле policy.json.

4. Выполните команду:

   yc storage bucket update \
     --name <имя_бакета> \
     --policy-from-file <путь_к_файлу_с_политикой>
   

   После успешного применения политики доступа подключение к бакету будет возможно только из облачной сети VPC, в которой было создано соответствующее сервисное подключение (Private Endpoint).

Если у вас еще нет AWS CLI, установите и сконфигурируйте его.

1. Опишите конфигурацию политики доступа в виде схемы данных формата JSON:

   {
     "Version": "2012-10-17",
     "Statement": {
       "Effect": "Allow",
       "Principal": "*",
       "Action": "*",
       "Resource": [
         "arn:aws:s3:::<имя_бакета>/*",
         "arn:aws:s3:::<имя_бакета>"
       ],
       "Condition": {
         "StringEquals": {
           "yc:private-endpoint-id": "<идентификатор_подключения>"
         }
       }
     }
   }
   

   Где:

   • <имя_бакета> — имя бакета в Object Storage, к которому нужно применить политику доступа, например my-s3-bucket.
   • <идентификатор_подключения> — идентификатор сервисного подключения (Private Endpoint), например enpd7rq1s3f5********.

2. Сохраните готовую конфигурацию в файле policy.json.

3. Выполните команду:

   aws s3api put-bucket-policy \
     --endpoint https://storage.yandexcloud.net \
     --bucket <имя_бакета> \
     --policy file://policy.json
   

После успешного применения политики доступа подключение к бакету будет возможно только из облачной сети VPC, в которой было создано соответствующее сервисное подключение (Private Endpoint).

Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.

По умолчанию для аутентификации в Object Storage Terraform использует IAM-токен. Кроме IAM-токена для аутентификации в Object Storage можно использовать сервисный аккаунт и статические ключи доступа. Более подробную информацию об особенностях аутентификации Terraform в Object Storage см. в документации провайдера.

1. Откройте файл конфигурации Terraform и задайте политику с помощью ресурса yandex_storage_bucket_policy:

   resource "yandex_storage_bucket_policy" "bpolicy" {
     bucket = "my-policy-bucket"
     policy = <<POLICY
   {
     "Version": "2012-10-17",
     "Statement": {
       "Effect": "Allow",
       "Principal": "*",
       "Action": "*",
       "Resource": [
         "arn:aws:s3:::<имя_бакета>/*",
         "arn:aws:s3:::<имя_бакета>"
       ],
       "Condition": {
         "StringEquals": {
           "yc:private-endpoint-id": "<идентификатор_подключения>"
         }
       }
     }
   }
   POLICY
   }
   

   Где:

   • <имя_бакета> — имя бакета в Object Storage, к которому нужно применить политику доступа, например my-s3-bucket.
   • <идентификатор_подключения> — идентификатор сервисного подключения (Private Endpoint), например enpd7rq1s3f5********.

   Более подробную информацию о параметрах ресурса yandex_storage_bucket_policy см. в документации провайдера.

2. Примените изменения:

   1. В терминале перейдите в папку, где вы отредактировали конфигурационный файл.

   2. Проверьте корректность конфигурационного файла с помощью команды:

      terraform validate
      

      Если конфигурация является корректной, появится сообщение:

      Success! The configuration is valid.
      

   3. Выполните команду:

      terraform plan
      

      В терминале будет выведен список ресурсов с параметрами. На этом этапе изменения не будут внесены. Если в конфигурации есть ошибки, Terraform на них укажет.

   4. Примените изменения конфигурации:

      terraform apply
      

   5. Подтвердите изменения: введите в терминале слово yes и нажмите Enter.

   Проверить изменения можно в консоли управления.

Чтобы настроить политику доступа для бакета, воспользуйтесь методом REST API update для ресурса Bucket, вызовом gRPC API BucketService/Update или методом S3 API PutBucketPolicy. Если ранее для бакета уже была настроена политика доступа, то после применения новой политики она будет полностью перезаписана.