Как пользоваться: Генератор политики бакета S3
- Страница открывается в режиме S3 bucket policy. Введите имя бакета и ID вашего аккаунта.
- Оставьте включенной опцию Deny without HTTPS и отметьте, кому разрешён доступ к бакету: CloudFront, другому аккаунту, IAM-роли или всем пользователям.
- Укажите ID дистрибуции, ID аккаунта или ARN роли и при необходимости ограничьте доступ префиксом.
- Скопируйте политику или выполните команду AWS CLI, чтобы применить её.
Типичные политики бакета
- CloudFront (OAC): бакет остаётся закрытым; читать его может только ваша дистрибуция, проверка выполняется по
AWS:SourceArn. - Между аккаунтами: корневой принципал другого аккаунта (или роль в нём) может читать или записывать объекты.
- Только HTTPS: инструкция Deny для запросов, где
aws:SecureTransportравно false, — частое требование к соответствию стандартам. - Публичное чтение:
Principal: "*"сs3:GetObject; требует отключённого Block Public Access, поэтому используйте только для файлов публичного сайта.
Для политик, привязанных к пользователям и ролям, переключитесь в режим IAM-политики в генераторе IAM-политик AWS.
Также ищут как: политика бакета cloudfront oac, s3 bucket policy публичное чтение, принудительный https s3 политика.
Инструменты, которые хорошо сочетаются с Генератор политики бакета S3
- Генератор CORS-заголовков — Видите «has been blocked by CORS policy»?
- Генератор YAML для Kubernetes — Укажите имя приложения, образ и порт, и вы получите готовый к продакшену YAML для Kubernetes: Deployment с пробами, лимитами ресурсов и защищённым security context, а также выбранные вами Service, Ingress с TLS, ConfigMap, Secret и HorizontalPodAutoscaler — всё в одном файле, готовом для kubectl apply.
- JSON форматтер — Вставьте JSON, чтобы отформатировать, минифицировать или проверить его.
- Проверка заголовков безопасности — Оцените HTTP-заголовки безопасности сайта от A+ до F, узнайте, каких не хватает и почему они важны, и скопируйте готовые фрагменты конфигурации для Nginx, Apache, Netlify, Vercel или Cloudflare.
Часто задаваемые вопросы
Как дать CloudFront доступ к закрытому бакету S3?
Создайте Origin Access Control в CloudFront, затем добавьте политику бакета, которая разрешает сервисному принципалу cloudfront.amazonaws.com действие s3:GetObject с условием AWS:SourceArn для вашей дистрибуции. Здесь отметьте «Allow CloudFront».
Как сделать бакет S3 публичным?
Отключите Block Public Access для бакета и добавьте политику, которая разрешает Principal "*" действие s3:GetObject. Делайте это только для файлов, которые должны быть публичными.
Как включить принудительный HTTPS для бакета S3?
Добавьте инструкцию Deny для всех принципалов и действий при aws:SecureTransport, равном false. Генератор добавляет её по умолчанию.
Можно ли установить Генератор политики бакета S3 как веб-приложение и пользоваться им офлайн?
Да. Генератор политики бакета S3 — это веб-приложение (PWA), которое можно установить из браузера, без скачивания из магазина приложений. В Chrome или Edge (Windows, macOS, Linux, ChromeOS) или на Android нажмите вверху этой страницы «Установить приложение»; на iPhone и iPad используйте «Поделиться → На экран «Домой»», а в Safari 17+ на Mac — «Файл → Добавить в Dock». После этого приложение откроется в отдельном окне со своим значком, и так как оно полностью работает в браузере, оно продолжит работать офлайн. Firefox на компьютере не умеет устанавливать веб-приложения. Как работает установка.