다른 지역의 특정 VPC에서 특정 S3 버킷에 액세스하는 방법

Question

다른 지역의 VPC에서 S3 버킷에 s3:GetObject 액세스를 허용하고 싶습니다.

S3 버킷과 VPC가 같은 지역에 있으면 VPC 끝점을 사용할 수 있다는 것을 알고 있습니다. 하지만 다른 지역의 액세스를 허용하려면 어떤 옵션이 있습니까?

옵션 1 :

이 지역의 모든 가용 영역의 모든 서브넷에 대한 NAT 게이트웨이를 만들고 S3 버킷 정책에 NAT 게이트웨이 '유동 IP에서 액세스 할 수 있습니다.

그러나 당신이 많은 NAT 게이트웨이 필요한이 방법 (예를 : 미국 동부 1 지역 6)

다른 옵션?

Answer 1

두 VPC의 사이에 VPN 연결을 설정해야합니다

• 먼저 VPC는 ​​VPC 엔드 포인트를 사용 S3 &와 같은 지역에 있습니다.

• 두 번째 VPC는 ​​다른 영역에 있습니다.

VPC 피어링 연결은 동일한 지역이 아니므로이를 활용할 수 없습니다.

Answer 2

간단히 대답하면 다른 지역의 VPC에서 한 영역의 S3 버킷에 대한 액세스를 제한 할 수 없다는 것입니다. IP 주소를 사용하여 액세스를 제어하는 ​​S3 정책을 만들 수 있습니다. NAT 게이트웨이에 공용 IP 주소가 있고 인스턴스에 공용 주소가있을 수 있습니다.

트래픽이 VPC에서 나가면 공용 IP 주소 공간이 사용됩니다. S3 버킷이 이러한 요청을 받으면 어떤 VPC가 시작되었는지 알 수 없습니다. 이는 VPC 엔드 포인트 및 사설 링크가 생성 된 이유 중 하나입니다.

아래는 IP 주소를 사용하여 권한을 제어하는 ​​S3 정책의 예입니다. VPC에서 실제 공개 주소로 수정하십시오.

{ 
    "Version": "2012-10-17", 
    "Id": "S3PolicyId1", 
    "Statement": [ 
     { 
      "Sid": "statement1", 
      "Effect": "Allow", 
      "Principal": "*", 
      "Action":["s3:GetObject"] , 
      "Resource": "arn:aws:s3:::examplebucket/*", 
      "Condition" : { 
       "IpAddress" : { 
        "aws:SourceIp": "192.168.143.0/24" 
       }, 
       "NotIpAddress" : { 
        "aws:SourceIp": "192.168.143.188/32" 
       } 
      } 
     } 
    ] 
}