Bucket-Richtlinie

Bucket-Richtlinien von RustFS sind S3-kompatible Ressourcenrichtlinien, die direkt an einen Bucket gebunden sind. Damit gewähren oder verweigern Sie den Zugriff auf den Bucket und seine Objekte, einschließlich eines kontrollierten anonymen Zugriffs für öffentliche Downloads.

ÜberblickCopy Anchor Link

Eine Bucket-Richtlinie enthält eine oder mehrere Anweisungen, die einen Principal, eine Aktion, eine Ressource und optionale Bedingungen abgleichen. RustFS wertet die Richtlinie für Anfragen an den Bucket aus, bevor es die Speicheroperation zulässt.

Bucket-Richtlinien und IAM-Richtlinien erfüllen unterschiedliche Zwecke:

Ein ausdrückliches Deny hat Vorrang vor einem Allow. Bucket-Eigentümer können die Bucket-Richtlinie weiterhin abrufen, ersetzen oder löschen, damit eine Deny-Anweisung die Richtlinienverwaltung nicht dauerhaft sperrt.

RustFS implementiert die Standard-S3-Operationen PutBucketPolicy, GetBucketPolicy, GetBucketPolicyStatus und DeleteBucketPolicy.

KonfigurationCopy Anchor Link

VoraussetzungenCopy Anchor Link

• Erstellen Sie den Ziel-Bucket, bevor Sie eine Richtlinie anwenden.
• Konfigurieren Sie die AWS CLI mit RustFS-Zugangsdaten und der Region us-east-1.
• Verwenden Sie Zugangsdaten, die die erforderliche Aktion zur Richtlinienverwaltung ausführen dürfen.

Setzen Sie wiederverwendbare Variablen:

export RUSTFS_ENDPOINT=http://localhost:9000
export BUCKET_NAME=my-bucket

Die Richtlinienverwaltung erfordert diese Aktionen:

Aufbau des RichtliniendokumentsCopy Anchor Link

Eine Bucket-Richtlinie verwendet die Version 2012-10-17 und ein Statement-Array:

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "PublicReadObjects",
			"Effect": "Allow",
			"Principal": "*",
			"Action": ["s3:GetObject"],
			"Resource": ["arn:aws:s3:::my-bucket/public/*"]
		}
	]
}

Die Bucket-ARN und die Objekt-ARN unterscheiden sich:

Verwenden Sie ein Präfix in der Objekt-ARN, etwa arn:aws:s3:::my-bucket/public/*, um den Zugriff auf einen Teil des Buckets zu beschränken. Das vollständige Anweisungsformat und die unterstützten Bedingungsoperatoren stehen unter Benutzer, Gruppen und Richtlinien.

Public Access BlockCopy Anchor Link

Wenn BlockPublicPolicy in der Konfiguration Public Access Block (Sperre für öffentlichen Zugriff) des Buckets aktiviert ist, lehnt RustFS eine neue Richtlinie ab, die eine Allow-Anweisung mit einem Wildcard-Principal enthält. Lassen Sie diesen Schutz aktiviert, solange anonymer Zugriff nicht beabsichtigt ist.

Public Access Block ersetzt keine sorgfältige Prüfung der Richtlinie. Ein vorhandenes ausdrückliches Deny setzt Allows weiterhin außer Kraft, und authentifizierte Anfragen werden weiterhin gegen IAM- und Bucket-Richtlinien geprüft.

VerwendungCopy Anchor Link

Richtlinie für öffentliches Lesen erstellenCopy Anchor Link

Erstellen Sie eine Richtlinie, die anonyme Downloads nur aus dem Präfix public/ erlaubt:

cat > /tmp/my-bucket-policy.json <<'EOF'
{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "PublicReadObjects",
			"Effect": "Allow",
			"Principal": "*",
			"Action": ["s3:GetObject"],
			"Resource": ["arn:aws:s3:::my-bucket/public/*"]
		}
	]
}
EOF

Diese Richtlinie erlaubt kein anonymes Auflisten des Buckets, keine Uploads, keine Überschreibungen und keine Löschungen.

Richtlinie anwendenCopy Anchor Link

aws s3api put-bucket-policy \
	--bucket "$BUCKET_NAME" \
	--policy file:///tmp/my-bucket-policy.json \
	--endpoint-url "$RUSTFS_ENDPOINT"

Eine weitere Richtlinie ersetzt die bestehende Richtlinie vollständig. Rufen Sie das aktuelle Dokument ab und prüfen Sie es, bevor Sie es aktualisieren. Anweisungen werden nicht automatisch zusammengeführt.

Richtlinie lesenCopy Anchor Link

aws s3api get-bucket-policy \
	--bucket "$BUCKET_NAME" \
	--endpoint-url "$RUSTFS_ENDPOINT" \
	--query Policy \
	--output text

RustFS behält das übermittelte Richtlinien-JSON bei. Wenn keine Richtlinie vorhanden ist, gibt die API NoSuchBucketPolicy zurück.

Öffentlichen Status prüfenCopy Anchor Link

aws s3api get-bucket-policy-status \
	--bucket "$BUCKET_NAME" \
	--endpoint-url "$RUSTFS_ENDPOINT"

Die Antwort enthält einen groben Status zum öffentlichen Zugriff:

{
	"PolicyStatus": {
		"IsPublic": false
	}
}

Die aktuelle Statusprüfung erkennt anonymes Auflisten des Buckets (s3:ListBucket) und Uploads (s3:PutObject). Eine Richtlinie, die nur Objekt-Downloads freigibt, wie das Beispiel public/ oben, kann weiterhin false melden. Prüfen Sie immer die genaue anonyme Aktion, das Objektpräfix und die Bedingungen, anstatt diesen Status als vollständige Zugriffsanalyse zu behandeln.

Richtlinie entfernenCopy Anchor Link

aws s3api delete-bucket-policy \
	--bucket "$BUCKET_NAME" \
	--endpoint-url "$RUSTFS_ENDPOINT"

Das Löschen einer Bucket-Richtlinie entfernt nur diese Ressourcenrichtlinie. IAM-Richtlinien, die an Benutzer und Gruppen gebunden sind, bleiben unverändert.

ÜberprüfungCopy Anchor Link

Laden Sie ein Testobjekt mit authentifizierten Zugangsdaten hoch:

printf 'hello from RustFS\n' > /tmp/hello.txt

aws s3api put-object \
	--bucket "$BUCKET_NAME" \
	--key public/hello.txt \
	--body /tmp/hello.txt \
	--endpoint-url "$RUSTFS_ENDPOINT"

Prüfen Sie, dass das zugelassene Objekt ohne Zugangsdaten heruntergeladen werden kann:

curl --fail-with-body \
	"${RUSTFS_ENDPOINT}/${BUCKET_NAME}/public/hello.txt"

Prüfen Sie anschließend, dass ein Objekt außerhalb des zugelassenen Präfixes nicht öffentlich ist:

aws s3api put-object \
	--bucket "$BUCKET_NAME" \
	--key private/hello.txt \
	--body /tmp/hello.txt \
	--endpoint-url "$RUSTFS_ENDPOINT"

curl --fail-with-body \
	"${RUSTFS_ENDPOINT}/${BUCKET_NAME}/private/hello.txt"

Die zweite curl-Anfrage sollte mit AccessDenied fehlschlagen. Prüfen Sie außerdem jede authentifizierte Benutzerrolle, die sich auf die Richtlinie stützt, besonders wenn das Dokument Bedingungen oder ausdrückliche Deny-Anweisungen enthält.

Nächste SchritteCopy Anchor Link

• IAM-Richtlinien verwalten
• Zugangsdaten verwalten
• Audit-Protokolle konfigurieren