Cách dùng Tạo S3 Bucket Policy
- Trang bắt đầu ở chế độ S3 bucket policy. Nhập tên bucket và ID tài khoản của bạn.
- Giữ tùy chọn Deny without HTTPS được bật, rồi chọn những đối tượng được truy cập bucket: CloudFront, tài khoản khác, IAM role hoặc công khai.
- Điền ID distribution, ID tài khoản hoặc ARN của role, và nếu cần, giới hạn quyền truy cập theo prefix.
- Sao chép policy, hoặc chạy lệnh AWS CLI để áp dụng.
Các bucket policy thường dùng
- CloudFront (OAC): bucket vẫn ở chế độ riêng tư; chỉ distribution của bạn được đọc, được kiểm tra bằng
AWS:SourceArn. - Cross-account: principal gốc của tài khoản khác (hoặc một role trong tài khoản đó) được đọc hoặc ghi object.
- Chỉ HTTPS: câu lệnh Deny cho các yêu cầu có
aws:SecureTransportlà false — một yêu cầu tuân thủ phổ biến. - Đọc công khai:
Principal: "*"vớis3:GetObject; cần tắt Block Public Access, nên chỉ dùng cho các tệp của website công khai.
Với các policy gắn cho user và role, hãy chuyển sang chế độ IAM policy trong AWS IAM Policy Generator.
Cũng được tìm dưới tên: s3 bucket policy generator, s3 bucket policy example, cloudfront oac bucket policy, s3 public read policy, s3 cross account bucket policy, bắt buộc https s3 bucket policy.
Các công cụ dùng kèm tốt với Tạo S3 Bucket Policy
- Tạo & Kiểm tra CORS Header — Đang gặp “has been blocked by CORS policy”?
- Tạo Kubernetes YAML — Nhập tên ứng dụng, image và cổng, bạn sẽ có ngay Kubernetes YAML sẵn sàng cho production: một Deployment với probe, giới hạn tài nguyên và security context được gia cố, cùng Service, Ingress có TLS, ConfigMap, Secret và HorizontalPodAutoscaler mà bạn chọn — tất cả trong một file, sẵn sàng cho kubectl apply.
- Định dạng JSON — Dán JSON để định dạng đẹp, nén hoặc kiểm tra.
- Kiểm tra Security Headers — Chấm điểm security headers HTTP của website từ A+ đến F, xem header nào đang thiếu và vì sao chúng quan trọng, rồi sao chép đoạn cấu hình sẵn cho Nginx, Apache, Netlify, Vercel hoặc Cloudflare.
Câu hỏi thường gặp
Làm sao để cho CloudFront đọc một S3 bucket riêng tư?
Tạo Origin Access Control trong CloudFront, rồi thêm bucket policy cho phép service principal cloudfront.amazonaws.com thực hiện s3:GetObject, kèm điều kiện AWS:SourceArn trỏ đến distribution của bạn. Hãy chọn “Allow CloudFront” ở đây.
Làm sao để S3 bucket công khai?
Tắt Block Public Access cho bucket và thêm policy cho phép Principal "*" thực hiện s3:GetObject. Chỉ làm điều này với các tệp thực sự cần công khai.
Làm sao để bắt buộc HTTPS trên S3 bucket?
Thêm câu lệnh Deny cho mọi principal và action khi aws:SecureTransport là false. Trình tạo sẽ tự thêm mặc định.
Tôi có thể cài Tạo S3 Bucket Policy như một ứng dụng web và dùng khi không có mạng không?
Có. Tạo S3 Bucket Policy là một ứng dụng web (PWA) có thể cài đặt — cài trực tiếp từ trình duyệt, không cần tải từ cửa hàng ứng dụng. Trên Chrome hoặc Edge (Windows, macOS, Linux, ChromeOS) hoặc Android, bấm Cài đặt ứng dụng ở đầu trang này; trên iPhone và iPad, dùng Chia sẻ → Thêm vào Màn hình chính; trên Mac, dùng File → Add to Dock trong Safari 17 trở lên. Sau đó ứng dụng mở trong cửa sổ riêng với biểu tượng riêng, và vì chạy hoàn toàn trên trình duyệt nên vẫn hoạt động khi không có mạng. Firefox trên máy tính không thể cài ứng dụng web. Cách cài đặt hoạt động thế nào.