[AWS][SAA][EXAMTOPICS] Question 198

Amazon EC2 instances are used to execute an application. The application's sensitive data is housed in an Amazon S3 bucket. The bucket must be shielded from internet access while yet allowing access to it for services inside the VPC.

Which activities should solutions archived take in order to do this? (Select two.)

• A. Create a VPC endpoint for Amazon S3.
• B. Enable server access logging on the bucket.
• C. Apply a bucket policy to restrict access to the S3 endpoint.
• D. Add an S3 ACL to the bucket that has sensitive information.
• E. Restrict users using the IAM policy to use the specific bucket.

 

한글 번역

Amazon EC2 인스턴스는 애플리케이션을 실행하는 데 사용됩니다. 애플리케이션의 민감한 데이터는 Amazon S3 버킷에 보관됩니다. 버킷은 인터넷 액세스로부터 보호되는 동시에 VPC 내부 서비스에 대한 액세스를 허용해야 합니다.

이를 위해 아카이브 솔루션은 어떤 활동을 수행해야 합니까? (2개를 선택하세요.)

• A. Amazon S3용 VPC 엔드포인트를 생성합니다.
• B. 버킷에서 서버 액세스 로깅을 활성화합니다.
• C. 버킷 ​​정책을 적용하여 S3 엔드포인트에 대한 액세스를 제한합니다.
• D. 민감한 정보가 있는 버킷에 S3 ACL을 추가합니다.
• E. IAM 정책을 사용하는 사용자가 특정 버킷을 사용하도록 제한합니다.

 

 

 

 

 

 

정답

• A. Create a VPC endpoint for Amazon S3.
• C. Apply a bucket policy to restrict access to the S3 endpoint.

 

해설

이 문제의 요점은 버킷은 인터넷 액세스로부터 보호되는 동시에 VPC 내부 서비스에 대한 액세스를 허용해야 하는 것이다.

VPC 내부 서비스에 대한 액세스를 허용하기 위해서는 VPC 엔드포인트 중 게이트웨이 엔드포인트를 이용해야 한다. 게이트웨이 엔드포인트는 S3, DynamoDB만 가능하다.

그 다음 버킷 정책을 이용해서 외부 인터넷으로부터 보호가 가능하다.

 

버킷 정책으로 VPC 엔드포인트의 액세스 제어

Amazon S3 버킷 정책을 사용하여 특정 가상 사설 클라우드(VPC) 엔드포인트 또는 특정 VPC에서 버킷에 대한 액세스를 제어할 수 있습니다. 이 섹션에는 VPC 엔드포인트에서 Amazon S3 버킷 액세스를 제어하는 ​​데 사용할 수 있는 예제 버킷 정책이 포함되어 있습니다. VPC 엔드포인트 설정 방법을 알아보려면 VPC 사용 설명서 의 VPC 엔드 포인트를 참조하십시오 .

VPC를 사용하면 AWS 리소스를 사용자가 정의한 가상 네트워크로 시작할 수 있습니다. VPC 엔드포인트를 사용하면 인터넷, VPN 연결, NAT 인스턴스 또는 AWS Direct Connect를 통해 액세스할 필요 없이 VPC와 다른 AWS 서비스 간에 프라이빗 연결을 생성할 수 있습니다.

Amazon S3의 VPC 엔드포인트는 Amazon S3에만 연결할 수 있는 VPC 내의 논리적 엔터티입니다. VPC 엔드포인트는 요청을 Amazon S3로 라우팅하고 응답을 다시 VPC로 라우팅합니다. VPC 엔드포인트는 요청이 라우팅되는 방식만 변경합니다. Amazon S3 퍼블릭 엔드포인트 및 DNS 이름은 계속해서 VPC 엔드포인트에서 작동합니다. Amazon S3에서 VPC 엔드포인트를 사용하는 방법에 대한 중요한 정보는 VPC 사용 설명서 의 게이트웨이 VPC 엔드포인트 및 Amazon S3용 엔드포인트를 참조하십시오 .

Amazon S3용 VPC 엔드포인트는 Amazon S3 데이터에 대한 액세스를 제어하는 ​​두 가지 방법을 제공합니다.

• 특정 VPC 엔드포인트를 통해 허용되는 요청, 사용자 또는 그룹을 제어할 수 있습니다. 이러한 유형의 액세스 제어에 대한 자세한 내용은 VPC 사용 설명서 의 VPC 엔드포인트가 있는 서비스 에 대한 액세스 제어를 참조하십시오 .
• Amazon S3 버킷 정책을 사용하여 버킷에 액세스할 수 있는 VPC 또는 VPC 엔드포인트를 제어할 수 있습니다. 이러한 버킷 정책 액세스 제어 유형의 예는 액세스 제한에 대한 다음 주제를 참조하십시오.

 

 

참조 문서

https://docs.aws.amazon.com/AmazonS3/latest/userguide/example-bucket-policies-vpc-endpoint.html

Controlling access from VPC endpoints with bucket policies - Amazon Simple Storage Service