S3 Security

Question 1

Как разрешать/запрещать доступ к S3 бакетам?

Answer 1

USER-BASED IAM Policies и RESOURCE-BASED Bucket Policies

Question 2

… - это самый популярный способ управления S3 security. Его преимещество в том, что он является … - то есть можно

Answer 2

Bucket Policies, Cross Account, разрешить доступ к S3 бакету пользователям из других акаунтов

Question 3

Всем пользователям дали доступ через Bucket Policy.
Одному из пользователей НЕ удаётся выполнить операцию.
Значит …

Answer 3

на нём висит explicit DENY

Question 4

Какие поля есть в Bucket Policy? Какие поля есть в Bucket Policy Statement?

Answer 4

version statement; sid action effect principle

Question 5

В чём особенность поля principle в S3 bucket policy?

Answer 5

пользователь может быть из другого аккаунта

Question 6

Cross Account доступ к S3 - можно сделать только через …

Answer 6

Bucket Policy

Question 7

Как можно Заставить (force) объект быть зашифрованным при загрузке?

Answer 7

используя bucket policy

Question 8

Если мы знаем, что все наши S3 бакеты должны НЕ быть публичны, то …

Answer 8

это можно ограничить на уровне аккаунта.

Question 9

Есть возможность определять метаданные для объекта. Пары ключ-значение. Эти метаданные можно позже получить вместе с объектом. Как называется?

Answer 9

S3 User-Defined Object Metadata

Question 10

User-defined object metadata names должны начинаться с …. Требования к правописанию?

Answer 10

“x-amz-meta-”, lowercase

Question 11

«Content-Type: html» - это …, а «x-amz-origin: Paris» это … metadata

Answer 11

amazon-defined, user-defined

Question 12

S3 Object Tags примеры использования

Answer 12

Fine-grained permissions (только доступ к объектам с определённым тэгам), Для аналитики (S3 Analytics, чтобы сгруппировать по тэгам)

Question 13

Ограничение S3 Object Tags и S3 метаданных в том, что … Обойти это можно через …

Answer 13

Not Searchable Невозможно осуществлять поиск по тэгам или метаданным в S3. стороннее хранилище в качестве search index (например, DynamoDB).

Question 14

Что если сайт при запросе клиента запрашивает загрузку картинок из S3?

Answer 14

Нужно разрешить этому S3 бакету определённые значения CORS заголовка Access-Control-Allow-Origin. А именно - origin сайта, который запрашивает картинки. Или *

Question 15

MFA Delete нужен чтобы … при таких операциях как …. При это пользователь должен …

Answer 15

чтобы дополнительно обезопасить данные, Delete, Versioning Suspend, ввести MFA код

Question 15

Для каких операций Нельзя настроить MFA?

Answer 15

безобидных (включение версионирования, перечисление объектов)

Question 16

Какие условия есть для включения MFA delete?

Answer 16

Versioning, Root Account

Question 17

Какие ограничения есть для включения MFA delete?

Answer 17

только из AWS CLI, НЕЛЬЗЯ из AWS Console

Question 18

Что такое Pre-singed URL? Для чего оно нужно?

Answer 18

Пользователь, который использует pre-signed URL, имеет те же permissions (для GET / PUT запросов на этот S3 объект), что и пользователь, сгенерировавший этот pre-signed URL

Question 19

Как можно сгенерировать Pre Signed URL? В чём разница между способами?

Answer 19

Через S3 Console (max expiration 12h); Через AWS CLI (max expiration 168h); Через SDK

Question 20

Каков Use-Case и ключевые слова для pre-signed URL?

Answer 20

У нас есть один S3 объект в бакете, которым мы хотим поделиться с кем-то вне AWS’а. Но делать этот файл публичным мы не хотим. “Temporary access, URL for 1 specific file for download/upload.”

Question 21

Для более удобного управления правами доступа разных групп пользователей к большому S3 бакету можно использовать …, разделив бакет по …

Answer 21

S3 Access Points, префиксам

Question 22

S3 Access Point бывает … типов: … и …

Answer 22

двух, VPC и Internet

Question 23

У каждого S3 Access Point может быть своя …, которая абсолютно аналогична …

Answer 23

Policy, S3 IAM Resource Policy

Question 24

Какие use-case можно назвать для S3 Object Lambda?

Answer 24

Редактирование объект, в зависимости от идентичности клиента, который их запрашивает, Конвертировать формат объекта из XML в JSON, Добавить watermark на картинку, на основании того, кто запросил объект

Question 25

Какие компоненты есть в архитектуре для S3 Object Lambda?

Answer 25

S3 Bucket, S3 Access Point, Lambda, S3 Object Lambda Access Point