Nola partekatu S3 fitxategiak bucketa publiko egin gabe

Amazon S3ko fitxategiak parteka ditzakezu bucketa inoiz publiko egin gabe. Mantendu pribatu, utzi Block Public Access aktibatuta eta eman jendeari objektu jakinetarako sarbide sinatua horren ordez: URL aurrez sinatu bat behin bakarreko fitxategi baterako, CloudFronten URL sinatuak bucketaren aurrean CDN bat baduzu jada, edo pasahitza, iraungitze-data eta deskarga-muga gehitzen dituen partekatzeko esteka bat. Hiruek berdin funtzionatzen dute S3rekin bateragarriak diren hornitzaileetan, hala nola Cloudflare R2, DigitalOcean Spaces, Wasabi eta Backblaze B2 (CloudFront AWSrena bakarrik da).

S3 fitxategiak modu seguruan partekatzeko aukerak begirada batean

Zergatik ez egin fitxategia publiko besterik gabe

S3ko fitxategi bat partekatzeko modurik azkarrena publiko egitea eta objektuaren URLa bidaltzea da. Arriskutsuena ere bada: publikoa den edozer eskura dezake helbidea aurkitzen edo asmatzen duen edonork, pasahitzik gabe, iraungitzerik gabe eta nork hartu duen erregistrorik gabe. Ahaztutako bucket publikoak datu-filtrazioen iturri klasiko bat dira, eta fitxategien izenak eta edukiak erakusten dituzte.

AWSk dio bucket, sarbide-puntu eta objektu berriek ez dutela sarbide publikorik onartzen berez. Horrez gain, S3 Block Public Accessek lau ezarpen ditu (BlockPublicAcls, IgnorePublicAcls, BlockPublicPolicy eta RestrictPublicBuckets), geroago bucketa irekiko lukeen edozein politika edo ACL gainidazten dutenak. Bucket bakoitzeko, kontu bakoitzeko edo AWS Organization oso baterako ezar daitezke, eta S3k konbinaziorik murriztaileena aplikatzen du. AWSk gomendatzen du laurak kontu-mailan aktibatzea, benetan eduki publikoa ostatatzen ez baduzu, webgune estatiko bat adibidez.

Mantendu aktibatuta etengailu hori. Behean dagoen guztiak funtzionatzen du aktibatuta dagoela.

1. aukera: URL aurrez sinatuak

URL aurrez sinatu bat kontsulta-katean sinadura bat duen objektu-URL bat da. Eragiketa bat (normalean deskarga bat) ematen du objektu batean iraungi arte, eta S3k sinadura egiaztatzen du eskaera bakoitzean.

aws s3 presign s3://my-bucket/reports/q3.pdf --expires-in 86400

URL horrek 24 orduz funtzionatzen du. CLIaren lehenetsia ordubete da, eta gehienekoa 604.800 segundo (7 egun) IAM erabiltzaileen gakoekin sinatzen duzunean. Aldi baterako kredentzialekin sinatzen baduzu, hartutako rol batekin adibidez, URLa hil egiten da kredentzial horiek iraungitzen direnean.

Zer lortzen duzun:

• Bucketean edo haren politiketan aldaketarik ez.
• Kontrol zehatza: objektu bat, metodo bat, iraungitze bat.
• SigV4 aurrez sinatzea onartzen duen edozein hornitzailetan funtzionatzen du.

Zer ez duzun lortzen:

• Pasahitzik ez. URLa duenak erabil dezake, nahi adina aldiz, iraungi arte.
• Deskarga-mugarik eta esteka bakoitzeko baliogabetzerik ez. URL bat lehenago hiltzeko modu bakarra sinatu zuten gakoak baliogabetzea da.
• Karpetarik ez. Objektuz objektu sinatzen duzu; beraz, 300 fitxategiko karpeta bat partekatzeak 300 URL esan nahi du.
• Izenen pribatutasuna. URLak zure bucketaren izena, objektuaren gakoa eta zure access key ID-a erakusten ditu.

Mekanika sakonago ezagutzeko, igoerak, X-Amz-* parametro bakoitza eta SDK kodea barne, ikusi S3ko URL aurrez sinatuak azalduta.

2. aukera: CloudFronten URL sinatuak eta cookie sinatuak

Bucketa Amazon CloudFront bidez zerbitzatzen baduzu jada, URL sinatuak edo cookie sinatuak eska ditzakezu cache-portaera batean. Bucketa pribatu geratzen da origin access control (OAC) baten atzean, AWSk origin access identity zaharraren gainetik gomendatzen duena: bucket-politika batek zure banaketari bakarrik uzten dio objektuak irakurtzen. Gako publikoak trusted key group batean erregistratzen dituzu eta dagokion gako pribatuarekin sinatzen duzu.

• URL sinatuak fitxategi bakarretarako dira egokiak. Politika pertsonalizatu batekin hasiera-ordu bat eta IP tarte bat ere ezar ditzakezu, eta politika bakar bat fitxategi askotarako berrerabili komodinekin. Iraupen laburrekoak izan daitezke edo urteak iraun.
• Cookie sinatuak aldi berean fitxategi askotarako dira egokiak, bideo baten segmentu guztiak adibidez, zure URLak aldatu gabe.

Tresna egokia da erabiltzaileak jada autentifikatzen dituen eta edukia eskala handian zerbitzatzen duen aplikazio bat duzunean. Zure taldetik kanpoko pertsonei fitxategi gutxi batzuk emateko, banaketa bat konfiguratzea, gakoak kudeatzea eta eskaera bakoitza sinatzen duen kodea idaztea esan nahi du.

Bucket-politika bat IP tarte finko batera mugatzea beste aukera natibo bat da, baina hartzaileen sareak ezagutzen dituzunean bakarrik laguntzen du, eta hori gutxitan gertatzen da zure erakundetik kanpoko pertsonekin.

3. aukera: partekatzeko estekak Nubborekin

Nubbo zure bucketera konektatzen da eta URL aurrez sinatuei falta zaizkien kontrolak dituzten partekatzeko estekak ematen dizkizu, kodea idatzi gabe. Barrutik URL aurrez sinatuak erabiltzen ditu oraindik: Nubbok estekaren arauak egiaztatzen ditu lehenik eta orduan bakarrik ematen du iraupen laburreko URL bat; beraz, fitxategi bakarrak zuzenean doaz zure bucketetik hartzailearen nabigatzailera.

1. urratsa: konektatu zure bucketa

Erregistratu doan, egiaztatu zure helbide elektronikoa, eta ireki Bucketak eta sakatu Konektatu bucketa. Laguntzaileak zure hornitzailea eskatzen dizu (Amazon S3, Cloudflare R2, DigitalOcean Spaces, Wasabi, Backblaze B2 edo S3rekin bateragarria den endpoint pertsonalizatu bat), nola konektatu (sarbide osoko gako batekin konfigurazio automatikoa, edo bucket bakarrera mugatutako gako bat), zure gakoa eta zure bucketa. Gakoa eta bucketa egiaztatzen ditu, eta CORS probatuz amaitzen du zure nabigatzailetik egindako benetako igoera batekin. Bucketa pribatu geratzen da, eta zure gakoak AES-256-GCM bidez enkriptatuta gordetzen dira. Doako planak 2 konexio ditu.

2. urratsa: aukeratu fitxategia edo karpeta

Bilatu elementua arakatzailean eta aukeratu Partekatu. Partekatuak orrira ere joan zaitezke, sakatu Esteka berria eta aukeratu bertan bucketa eta fitxategia edo karpeta.

3. urratsa: ezarri babesa

Hiru kontrolak aukerakoak dira eta plan guztietan daude erabilgarri:

4. urratsa: sortu eta bidali esteka

Sakatu Sortu esteka, kopiatu eta bidali posta elektronikoz, txatez edo erabiltzen duzun bidetik. Hartzaileak deskarga-orri garbi bat irekitzen du eta ez du konturik behar. Karpeta-esteka batek karpeta arakatzeko, fitxategi bakarrak deskargatzeko edo dena ZIP gisa hartzeko aukera ematen dio; ZIP hori bere nabigatzaileak eraikitzen du, fitxategi bakoitza zuzenean zure bucketetik deskargatuz.

5. urratsa: bidali pasahitza bereiz

Pasahitza estekaren mezu berean bidaltzeak zentzua kentzen dio. Estekak pasahitza badu, Bidali pasahitza emailez aukerak behin bakarrik erakusten den esteka gisa entregatzen du: pasahitza behin erakusten da, erakusteko esteka 24 ordu, 3 egun edo 7 egunen ondoren iraungitzen da, eta ohar labur bat gehi dezakezu. Irekitzen denean jakinarazten zaizu.

6. urratsa: jarraitu eta baliogabetu

Partekatuak orriak esteka guztiak zerrendatzen ditu, bakoitza bere egoerarekin eta deskarga kopuruarekin. Pasahitza, iraungitzea edo muga edita ditzakezu, esteka bat desaktibatu (deskarga-URL berriak emateari uzten dio berehala) eta geroago berriro ireki helbide berarekin.

Pertsona jakinekin partekatzea esteka baten ordez

Esteka batek berau duen edonorentzat funtzionatzen du. Izendatutako pertsonak bakarrik sartzea nahi duzunean, Nubboren Partekatu pertsonekin aukerak (Personal eta Pro planetan) fitxategi edo karpeta bat helbide elektroniko jakinetara bidaltzen du, ikusteko edo deskargatzeko baimenarekin, aukerako iraungitzearekin eta deskarga-mugarekin, eta sarbide bakoitza erregistratzen du. Hartzaileek Nubbo kontu bat behar dute eta elementua Nirekin partekatua atalean aurkitzen dute. Personal planak 10 pertsona onartzen ditu elementu bakoitzeko eta 50 partekatze aktibo; Pro planak 50 eta 500.

Ordainpeko planek esteka enkriptatuak ere eskaintzen dituzte: nabigatzaileak fitxategiaren kopia zigilatu bat egiten du eta gakoa estekan bertan bakarrik doa; beraz, Nubbok ezin du irakurri.

Zer aukera erabili behar duzu?

• Fitxategi bat, behin, eta AWS CLI konfiguratuta duzu: URL aurrez sinatu bat da biderik azkarrena.
• Erabiltzaileen saioa jada hasten duen eta eduki asko zerbitzatzen duen aplikazio bat: CloudFronten URL edo cookie sinatuak.
• Zure taldetik kanpoko pertsonekin maiz partekatzea, karpeta osoak edo pasahitza edo muga behar duen edozer: partekatzeko esteka batek denbora eta akatsak aurrezten ditu.

Esteka bakar batetik haratago

Erlazionatutako bi funtziok beste kasu ohikoak hartzen dituzte. Postontziek igoera-esteka publiko bat ematen dizute, jendeak fitxategiak zure bucketera bidal ditzan bertan beste ezer ikusi gabe. Galeriek argazki edo bideoen karpeta bat orri arakagarri bihurtzen dute, diseinuekin, ur-marka batekin eta bere pasahitzarekin. Doako planean bakoitzetik 3 eta mugarik gabeko partekatzeko estekak dituzu; Personal eta Pro planek muga horiek kentzen dituzte. Ohar zintzo bat: miniaturak Nubboren zerbitzarian sortzen dira eta zure bucketean bertan gordetzen dira .nubbo-thumbs/ karpetan.