การรักษาความปลอดภัยและการจัดการสิทธิ์เข้าถึงของ Amazon S3

การคลิกเพียงไม่กี่ครั้งในคอนโซลการจัดการ S3 ก็ทำให้คุณสามารถใช้การบล็อกการเข้าถึงจากสาธารณะของ S3 กับทุก ๆ บัคเก็ตในบัญชีของคุณได้แล้ว ทั้งบัคเก็ตที่มีอยู่แล้วและบัคเก็ตใหม่ที่สร้างขึ้นในอนาคต และช่วยให้แน่ใจได้ว่าไม่มีการเข้าถึงจากสาธารณะไปยังอ็อบเจกต์ บัคเก็ตใหม่ทั้งหมดมีการเปิดการบล็อกการเข้าถึงจากสาธารณะไว้เป็นค่าเริ่มต้น หากต้องการจํากัดการเข้าถึงบัคเก็ตที่มีอยู่ทั้งหมดในบัญชี คุณสามารถเปิดใช้งานการบล็อกการเข้าถึงจากสาธารณะได้ที่ระดับบัญชี การตั้งค่าการบล็อกการเข้าถึงจากสาธารณะของ S3 จะแทนที่สิทธิ์การใช้งานของ S3 ที่อนุญาตการเข้าถึงจากสาธารณะ โดยทำให้ผู้ดูแลระบบบัญชีตั้งค่าการควบคุมจากศูนย์กลางได้ง่ายขึ้น เพื่อป้องกันรูปแบบที่แตกต่างกันในการกำหนดค่าการรักษาความปลอดภัย ไม่ว่าจะเพิ่มอ็อบเจ็กต์หรือสร้างบัคเก็ตอย่างไรก็ตาม

การล็อกออบเจ็กต์ S3 ของ Amazon ทำหน้าที่ปิดกั้นการลบเวอร์ชันอ็อบเจ็กต์ระหว่างช่วงเวลาการเก็บรักษาข้อมูลที่ลูกค้ากำหนด คุณจึงสามารถบังคับใช้นโยบายการเก็บรักษาข้อมูลไว้ได้ โดยเป็นการปกป้องข้อมูลเพิ่มขึ้นอีกหนึ่งชั้น หรือเพื่อการปฏิบัติตามข้อกำหนดตามระเบียบบังคับ คุณสามารถย้ายเวิร์กโหลดจากระบบแบบเขียนแล้วอ่านได้เท่านั้น (WORM) ที่มีอยู่ไปยัง Amazon S3 และกำหนดค่าการล็อกออบเจ็กต์ S3 ในระดับออบเจ็กต์และระดับบัคเก็ต เพื่อป้องกันการลบเวอร์ชันออบเจ็กต์ก่อนถึงวันที่สิ้นสุดการเก็บรักษาข้อมูลหรือวันที่เก็บรักษาเอกสารเพื่อการดำเนินคดีที่มีการกำหนดไว้ล่วงหน้า

Amazon S3 Object Ownership จะปิดใช้งาน Access Control List (ACL) ซึ่งจะเปลี่ยนความเป็นเจ้าของสำหรับอ็อบเจ็กต์ทั้งหมดไปให้เจ้าของบัคเก็ต และลดความซับซ้อนของการจัดการการเข้าถึงสำหรับข้อมูลที่จัดเก็บไว้ใน S3 เมื่อคุณกำหนดการตั้งค่าบังคับใช้โดยเจ้าของบัคเก็ตที่ S3 Object Ownership แล้ว ACL จะไม่มีผลต่อสิทธิ์สำหรับบัคเก็ตของคุณและอ็อบเจ็กต์ที่อยู่ในนั้นอีกต่อไป การควบคุมการเข้าถึงทั้งหมดจะได้รับการกำหนดโดยใช้นโยบายตามทรัพยากร นโยบายผู้ใช้ หรือทั้งสองนโยบายนี้ผสมผสานกัน ACL จะถูกปิดใช้งานโดยอัตโนมัติสําหรับบัคเก็ตใหม่ คุณสามารถใช้ S3 Inventory เพื่อตรวจสอบการใช้งาน ACL ในบัคเก็ตของคุณก่อนที่จะเปิดใช้งาน S3 Object Ownership เมื่อย้ายไปยังนโยบายบัคเก็ตที่ใช้ IAM สำหรับข้อมูลเพิ่มเติม โปรดดูที่การควบคุมความเป็นเจ้าของอ็อบเจ็กต์

ตามค่าเริ่มต้น ทรัพยากรทั้งหมดของ Amazon S3 ไม่ว่าจะเป็นบัคเก็ต อ็อบเจกต์ และทรัพยากรย่อยที่เกี่ยวข้อง เป็นทรัพยากรส่วนตัว โดยเจ้าของทรัพยากรเท่านั้น ซึ่งเป็นบัญชี AWS ที่สร้างทรัพยากรนั้น จึงจะมีสิทธิ์เข้าถึงทรัพยากรนั้นได้ Amazon S3 ให้ตัวเลือกนโยบายการเข้าถึงโดยจำแนกประเภทกว้างๆ ตามนโยบายเกี่ยวกับทรัพยากรและนโยบายเกี่ยวกับผู้ใช้ คุณสามารถเลือกที่จะใช้นโยบายตามทรัพยากร นโยบายผู้ใช้ หรือทั้งสองนโยบายนี้ผสมผสานกันเพื่อจัดการสิทธิ์การใช้งานทรัพยากร Amazon S3 ของคุณ ตามค่าเริ่มต้น อ็อบเจ็กต์ S3 จะเป็นของบัญชีที่สร้างอ็อบเจ็กต์นั้นขึ้นมา ซึ่งรวมถึงกรณีที่บัญชีนี้ไม่ใช่เจ้าของบัคเก็ตด้วย คุณสามารถใช้ S3 Object Ownership เพื่อปิดใช้งาน Access Control List และเปลี่ยนแปลงลักษณะการทำงานนี้ได้ หากทำเช่นนั้น แต่ละอ็อบเจ็กต์ในบัคเก็ตหนึ่งๆ จะเป็นของเจ้าของบัคเก็ตดังกล่าว สำหรับข้อมูลเพิ่มเติม โปรดดูที่ Identity and Access Management ใน Amazon S3

สำรวจและปกป้องข้อมูลที่ละเอียดอ่อนได้ทุกระดับใน Amazon S3 ด้วย Amazon Macie Macie นำเสนอรายการบัคเก็ต S3 ครบถ้วนโดยอัตโนมัติด้วยการสแกนบัคเก็ต เพื่อระบุและจำแนกประเภทข้อมูล คุณจะได้รับผลการตรวจการรักษาความปลอดภัยที่ดำเนินการได้ ซึ่งแจกแจงข้อมูลทั้งหมดที่ตรงกับประเภทข้อมูลที่ละเอียดอ่อนดังกล่าว รวมทั้งข้อมูลที่สามารถระบุตัวตนได้ (PII) (เช่น ชื่อลูกค้าและหมายเลขบัตรเครดิต) และหมวดหมู่ตามที่กำหนดโดยข้อบังคับด้านความเป็นส่วนตัว เช่น GDPR และ HIPAA นอกจากนี้ Macie ยังประเมินมาตรการควบคุมป้องกันในระดับบัคเก็ตโดยอัตโนมัติและอย่างต่อเนื่อง สำหรับบัคเก็ตใดๆ ที่เข้ารหัส เข้าถึงได้จากสาธารณะ หรือเปิดเผยกับบัญชีนอกองค์กรของคุณ ทำให้คุณสามารถแก้ไขการตั้งค่าโดยไม่ได้ตั้งใจกับบัคเก็ตได้อย่างรวดเร็ว

Amazon S3 เข้ารหัสการอัปโหลดอ็อบเจ็กต์ทั้งหมดไปยังบัคเก็ตทั้งหมดโดยอัตโนมัติ สำหรับการอัปโหลดอ็อบเจ็กต์ Amazon S3 รองรับการเข้ารหัสฝั่งเซิร์ฟเวอร์ด้วยตัวเลือกการจัดการคีย์สี่ตัวเลือก ได้แก่ SSE-S3 (ระดับการเข้ารหัสพื้นฐาน), SSE-KMS, DSSE-KMS และ SSE-C รวมถึงการเข้ารหัสฝั่งไคลเอ็นต์ Amazon S3 มีคุณสมบัติการรักษาความปลอดภัยที่ยืดหยุ่นได้เพื่อบล็อกไม่ให้ผู้ใช้ที่ไม่ได้รับอนุญาตเข้าถึงข้อมูลของคุณ ใช้ตำแหน่งข้อมูลสำหรับ VPC เพื่อเชื่อมต่อกับทรัพยากร S3 จาก Amazon Virtual Private Cloud (Amazon VPC) ของคุณ ใช้ S3 Inventory เพื่อตรวจสอบสถานะการเข้ารหัสของอ็อบเจ็กต์ S3 ของคุณ (ดูข้อมูลเพิ่มเติมเกี่ยวกับ S3 Inventory ได้ที่การจัดการพื้นที่จัดเก็บ)

Trusted Advisor ตรวจสอบสภาพแวดล้อม AWS ของคุณ แล้วสร้างข้อเสนอแนะเมื่อมีโอกาส เพื่ออุดช่องโหว่ด้านการรักษาความปลอดภัย 

Trusted Advisor มีการตรวจสอบที่เกี่ยวข้องกับ Amazon S3 ดังนี้ การกำหนดค่าการลงบันทึกของบัคเก็ต Amazon S3, การตรวจสอบการรักษาความปลอดภัยสำหรับบัคเก็ต Amazon S3 ที่มีสิทธิ์เข้าถึงแบบเปิด และการตรวจสอบความคงทนต่อข้อบกพร่องสำหรับบัคเก็ต Amazon S3 ที่ไม่ได้เปิดใช้งานการกำหนดเวอร์ชัน หรือระงับการกำหนดเวอร์ชันเอาไว้

เข้าถึง Amazon S3 โดยตรงในแบบตำแหน่งข้อมูลส่วนตัวภายในเครือข่ายเสมือนที่ปลอดภัยของคุณด้วย AWS PrivateLink for S3 ลดความซับซ้อนของสถาปัตยกรรมเครือข่ายโดยเชื่อมต่อไปยัง S3 จากในองค์กรหรือระบบคลาวด์โดยใช้ที่อยู่ IP ส่วนตัวจาก Virtual Private Cloud (VPC) คุณไม่จำเป็นต้องใช้ IP สาธารณะ, กำหนดค่ากฎของไฟร์วอลล์ หรือกำหนดค่าอินเทอร์เน็ตเกตเวย์เพื่อเข้าถึง S3 จากในองค์กรอีกต่อไป

โดยค่าเริ่มต้น SDK ของ AWS ล่าสุดจะคำนวณเช็คซัมที่ใช้ CRC ที่มีประสิทธิภาพสำหรับการอัปโหลดทั้งหมดโดยอัตโนมัติ S3 ตรวจสอบเช็คซัมนั้นอย่างอิสระและยอมรับอ็อบเจ็กต์หลังจากยืนยันว่าความสมบูรณ์ของข้อมูลได้รับการรักษาไว้ในระหว่างการโอนย้ายผ่านอินเทอร์เน็ตสาธารณะ หากใช้เวอร์ชันของ SDK ที่ไม่ให้เช็คซัมที่คำนวณไว้ล่วงหน้าเพื่ออัปโหลดอ็อบเจ็กต์, S3 จะคำนวณเช็คซัมที่ใช้ CRC ของอ็อบเจ็กต์ทั้งหมด แม้จะมีการอัปโหลดหลายส่วน เช็คซัมจะถูกเก็บไว้ในข้อมูลเมตาของอ็อบเจ็กต์ ดังนั้นจึงสามารถตรวจสอบความสมบูรณ์ของข้อมูลได้ตลอดเวลา เลือกจากอัลกอริทึมเช็คซัมที่รองรับห้าแบบ (SHA-1, SHA-256, CRC32, CRC32C หรือ CRC64NVME) เพื่อตรวจสอบความสมบูรณ์ของข้อมูลในคำขออัปโหลดและดาวน์โหลดของคุณ คำนวณและตรวจสอบผลรวมโดยอัตโนมัติในขณะที่คุณจัดเก็บหรือดึงข้อมูลจาก Amazon S3 และเข้าถึงข้อมูลการตรวจสอบได้ตลอดเวลาโดยใช้ HeadObject S3 API, GetObjectAttributes S3 API หรือรายงาน S3 Inventory