Настроить ограничение в Object Storage для доступа только из сервисных подключений

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

1. Создайте дополнительные ресурсные записи в DNS для переопределения публичного FQDN сервиса, к которому создается подключение. Для этого включите специальный параметр сервисного подключения VPC:

   yc vpc private-endpoint update \
     --id <идентификатор_сервисного_подключения> \
     --private-dns-records-enabled
   

2. Измените настройки бакета, указав параметры для включения доступа только из сервисных подключений VPC:

   yc storage bucket update \
     --name <имя_бакета> \
     --enable-private-endpoints true \
     --private-endpoints <идентификатор_сервисного_подключения> \
     --private-endpoints-force-cloudconsole-access true
   

   Где:

   • --name — имя бакета.

   • --enable-private-endpoints — параметр для включения доступа к бакету только из сервисных подключений VPC. Если параметр не указан, доступ к бакету будет возможен как из публичной сети, так и из сервисных подключений VPC.

   • --private-endpoints — список идентификаторов сервисных подключений VPC, доступ из которых будет разрешен.

     Важно

     Если идентификаторы сервисных подключений VPC не указаны, доступ к бакету будет невозможен отовсюду. Однако останется возможность выключить ограничения на доступ только из сервисных подключений VPC.

   • --private-endpoints-force-cloudconsole-access — (опционально) параметр для включения доступа к бакету с помощью консоли управления при включенном доступе только через сервисные подключения VPC. При отключенной опции доступ в бакет остается только через API и CLI.

Чтобы разрешить доступ в бакет только из сервисных подключений VPC на уровне сервиса, воспользуйтесь методом REST API update для ресурса Bucket или вызовом gRPC API Bucket/Update.

Измените настройки бакета:

yc storage bucket update \
  --name <имя_бакета> \
  --enable-private-endpoints false    

Где:

• --name — имя бакета.

• --enable-private-endpoints — параметр для включения доступа к бакету только из сервисных подключений VPC.

  Совет

  После того как ограничение на доступ только из сервисных подключений VPC снято, список сервисных подключений, переданный ранее в параметре --private-endpoints, сохраняется в настройках бакета. При повторном ограничении доступа нет необходимости передавать список еще раз.

Чтобы разрешить доступ в бакет только из сервисных подключений VPC на уровне сервиса, воспользуйтесь методом REST API update для ресурса Bucket или вызовом gRPC API Bucket/Update.