Políticas de Seguridad en Amazon S3: Ejemplos y Configuración

Contenido del curso

Bienvenida e Introducción

Almacenamiento de objetos en AWS (S3)

Clases de storage en S3

Seguridad en S3.

Storage Gateway

Sistema de archivos elástico (EFS)

Sistema de archivo por bloques (EBS)

Conclusiones

Tomar examen

Cursos Empresas Blog Live Conf Eventos Precios

0:008:43

Políticas de Seguridad en Amazon S3: Ejemplos y Configuración

Curso Práctico de Storage en AWS

Clase 22 de 37

Clase 22 / 37

Recursos

¿Cómo se estructuran las políticas en S3?

Amazon S3, un servicio de almacenamiento en la nube, permite gestionar el acceso a los datos usando políticas. Estas políticas se componen de varios elementos clave:

Versión: Especifica qué versión del lenguaje de políticas se está utilizando.
Statement: Define el efecto permitido o denegado.
Principal: Indica el usuario o entidad a la que se aplican los permisos.
Action: Define las acciones permitidas o denegadas sobre el recurso.
Resource: Es el objeto o bucket S3 al que se aplican los permisos.
Condition: Permite añadir restricciones adicionales para el acceso.

A través de estas políticas, se puede alcanzar un nivel de granularidad considerable al definir quién puede realizar qué acciones dentro de un bucket y bajo qué condiciones.

¿Qué tipo de políticas se pueden crear?

Políticas permisivas

Podemos crear políticas permisivas que permiten a todos los usuarios realizar acciones específicas. Por ejemplo, una política que use Principal: * sería aplicable a todos los usuarios, otorgándoles permisos sobre los objetos de un bucket específico.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::sample-bucket/*"
        }
    ]
}

Políticas específicas para cuentas

Las políticas también pueden ser creadas para dar acceso a cuentas específicas. Esto se puede hacer especificando el ARN para cada cuenta en el campo Principal.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::111122223333:user/Alice",
                    "arn:aws:iam::444455556666:user/Bob"
                ]
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::sample-bucket/*",
            "Condition": {
                "StringEquals": {
                    "s3:x-amz-acl": "public-read"
                }
            }
        }
    ]
}

Políticas con condiciones de seguridad

Las condiciones son opcionales y refuerzan la seguridad. Por ejemplo, se pueden configurar políticas para permitir acciones únicamente desde direcciones IP específicas.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:*",
            "Resource": "arn:aws:s3:::sample-bucket/*",
            "Condition": {
                "IpAddress": {"aws:SourceIp": "203.0.113.0/24"},
                "NotIpAddress": {"aws:SourceIp": "198.51.100.0/24"}
            }
        }
    ]
}

Políticas que responden a solicitudes de sitios web específicos

Las acciones pueden restringirse para ser realizadas únicamente si proceden de sitios web autorizados.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::sample-bucket/*",
            "Condition": {
                "StringLike": {
                    "aws:Referer": [
                        "http://www.example.com/*"
                    ]
                }
            }
        }
    ]
}

¿Cómo se combinan permisos y restricciones?

Uso de permisos explícitos de denegación

A veces, se requiere combinar permisos permitiendo acciones solo si cumplen con ciertas condiciones. En estos casos, se pueden definir políticas que explícitamente niegan el acceso si no se cumplen las condiciones de seguridad especificadas.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::sample-bucket/*",
            "Condition": {
                "StringLike": {
                    "aws:Referer": [
                        "http://www.trustedwebsite.com/*"
                    ]
                }
            }
        },
        {
            "Effect": "Deny",
            "Principal": "*",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::sample-bucket/*",
            "Condition": {
                "StringNotLike": {
                    "aws:Referer": [
                        "http://www.trustedwebsite.com/*"
                    ]
                }
            }
        }
    ]
}

Implementación de autenticación multifactor

En situaciones donde almacenamos información crítica, se puede requerir autenticación multifactor para ciertos subfolders dentro de un bucket, asegurando un nivel adicional de seguridad.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Principal": "*",
            "Action": "s3:*",
            "Resource": "arn:aws:s3:::example-bucket/tax-documents/*",
            "Condition": {
                "Bool": {
                    "aws:MultiFactorAuthPresent": "false"
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::example-bucket/*"
        }
    ]
}

Explorando y comprendiendo cómo funcionan las políticas en Amazon S3, se pueden implementar niveles de seguridad avanzados, protegiendo datos críticos de manera efectiva y asegurando que sólo usuarios autorizados tengan acceso necesario. Con las herramientas y estructuras adecuadas, la protección de los datos en la nube es mucho más manejable. ¡Adelante en dominar esta habilidad esencial en AWS!

Mario Alexander Vargas Celis

Hace 2 años

📌 Ejemplos de Políticas en S3 (AWS S3 Policies)

Aquí tienes algunos ejemplos de políticas para diferentes casos de uso en Amazon S3, utilizando políticas de bucket y políticas de IAM en formato JSON.

1️⃣ Política para Hacer un Bucket Público (Solo Lectura)

🔹 Permite que cualquiera pueda leer los archivos dentro del bucket.

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": "*", "Action": "s3:GetObject", "Resource": "arn:aws:s3:::mi-bucket/*" } ] }

✅ Útil para sitios web estáticos. ⚠️ No recomendado para datos sensibles.

2️⃣ Política para Restringir Acceso a una IP Específica

🔹 Permite que solo usuarios desde 192.168.1.10 accedan al bucket.

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Deny", "Principal": "*", "Action": "s3:*", "Resource": "arn:aws:s3:::mi-bucket/*", "Condition": { "NotIpAddress": { "aws:SourceIp": "192.168.1.10/32" } } } ] }

✅ Útil para restringir acceso a una ubicación específica. ⚠️ Asegúrate de usar la IP correcta.

3️⃣ Política para Permitir Solo Cargas, No Descargas

🔹 El usuario puede subir archivos, pero no descargarlos.

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": "*", "Action": "s3:PutObject", "Resource": "arn:aws:s3:::mi-bucket/*" }, { "Effect": "Deny", "Principal": "*", "Action": "s3:GetObject", "Resource": "arn:aws:s3:::mi-bucket/*" } ] }

✅ Útil para recibir archivos sin exponer su contenido.

4️⃣ Política para Permitir Acceso Solo a un Usuario IAM

🔹 Solo el usuario mi-usuario de IAM puede acceder.

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Deny", "Principal": "*", "Action": "s3:*", "Resource": ["arn:aws:s3:::mi-bucket", "arn:aws:s3:::mi-bucket/*"], "Condition": { "StringNotEquals": { "aws:PrincipalArn": "arn:aws:iam::123456789012:user/mi-usuario" } } } ] }

✅ Ideal para restringir acceso a un usuario específico.

5️⃣ Política para Permitir Acceso Solo a una Cuenta de AWS

🔹 Solo la cuenta AWS 123456789012 puede acceder.

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::123456789012:root" }, "Action": "s3:*", "Resource": ["arn:aws:s3:::mi-bucket", "arn:aws:s3:::mi-bucket/*"] } ] }

✅ Útil para compartir datos solo con una cuenta específica.

6️⃣ Política para Habilitar Acceso entre Buckets (Cross Account)

🔹 Permite que otra cuenta 987654321098 acceda al bucket.

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::987654321098:root" }, "Action": "s3:*", "Resource": ["arn:aws:s3:::mi-bucket", "arn:aws:s3:::mi-bucket/*"] } ] }

✅ Útil para compartir recursos entre cuentas de AWS.

7️⃣ Política para Restringir Acceso Según la Hora del Día

🔹 Solo permite acceso entre las 08:00 y las 18:00 UTC.

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Deny", "Principal": "*", "Action": "s3:*", "Resource": ["arn:aws:s3:::mi-bucket", "arn:aws:s3:::mi-bucket/*"], "Condition": { "NumericLessThan": { "aws:CurrentTime": "08:00:00Z" }, "NumericGreaterThan": { "aws:CurrentTime": "18:00:00Z" } } } ] }

✅ Útil para restringir acceso fuera del horario laboral.

🚀 Conclusión

✅ Las políticas en S3 permiten controlar el acceso de manera precisa. ✅ Puedes definir permisos según IP, usuario, cuenta o incluso la hora. ✅ Siempre prueba las políticas antes de aplicarlas en producción.

Comentarios (11)11 comentarios

john ct

Hace 7 años

LUIS ARTURO ZARATE AYALA

Hace 6 años

Jose Suarez

Carlos Eduardo Gomez García

Patricio Sánchez Fernández

Hace 3 años

Education Mobility Solutions SAS

Profesor

Hace 8 años

Diego Forero

Team Platzi

Carlos Andrés Zambrano Barrera

Ivan Acosta

rusbel bermúdez rivera

Saúl Báez Terrez

Rafael Carrillo

Usuario anónimo

User

Edmund Halley

Oscar Lobo

Bienvenida e Introducción

Opciones de Almacenamiento en AWS: Características y Casos de Uso

Diseño e Implementación de Arquitectura de Almacenamiento en AWS

Almacenamiento de objetos en AWS (S3)

Almacenamiento y Gestión de Objetos en AWS S3

Versionamiento de Archivos en S3: Control y Recuperación de Datos

Configuración de Sitios Web Estáticos en Amazon S3 y Route 53

Registro de Actividades en S3 con Integración a CloudTrail y CloudWatch

Transferencia Acelerada en AWS S3: Activación y Casos de Uso

Configuración y Uso de Eventos en S3 para Notificaciones y Monitoreo

Replicación de Objetos en S3 entre Regiones de AWS

Clases de storage en S3

Clases de Almacenamiento en Amazon S3: S3 Estándar y S3 IA

Uso eficiente de S3-IA para almacenamiento poco frecuente

Almacenamiento S3IA Única Zona: Uso y Consideraciones

Almacenamiento y Recuperación de Datos Históricos con Amazon Glacier

Gestión de Ciclo de Vida en Amazon S3 para Optimizar Costos y Almacenamiento

Estrategias de Migración de Datos a AWS S3

Casos de Uso Avanzados de S3 en AWS

Seguridad en S3.

Cifrado del Lado del Servidor en Amazon S3: Seguridad de Datos

Cifrado del lado del servidor con KMS en AWS

Encriptación en S3 con Llaves Propias del Usuario

Creación y uso de llaves KMS en AWS S3

Políticas de Seguridad en AWS S3: Control de Acceso y Permisos

Políticas de Seguridad en Amazon S3: Ejemplos y Configuración

Listas de Control de Acceso (ACLs) en Amazon S3: Seguridad y Configuración

Storage Gateway

Conexión Híbrida: Integración On-Premise con AWS Storage Gateway

Uso de File Gateway para Migración de Datos a AWS S3

Implementación de Virtual Tape Library en Amazon Glacier

Volume Gateway: Gestión de Volúmenes en la Nube y On-Premise

Sistema de archivos elástico (EFS)

Elastic File System (EFS) en AWS: Uso, Configuración y Beneficios

Casos de uso de EFS en arquitecturas escalables en AWS

Sistema de archivo por bloques (EBS)

Elastic Block Storage (EBS) en AWS: Uso y Características Clave

Tipos de EBS: GP2 y IO1 y sus usos recomendados

Tipos de Volúmenes EBS y sus Casos de Uso Específicos

Gestión de Snapshots y AMIs en AWS EBS

Creación y Gestión de Volúmenes EBS en Instancia Windows AWS

Creación y Gestión de Volúmenes EBS en Instancias Linux

Conclusiones

Tipos de Almacenamiento en AWS: S3, EBS y EFS

Opciones de Almacenamiento en AWS: S3, EBS, EFS y Seguridad

Políticas de Seguridad en Amazon S3: Ejemplos y Configuración