02. S3 Security

Par défaut, quand tu crées un bucket S3, tout est fermé. Personne n'a accès à rien, sauf le créateur du compte.

1. Les deux outils pour ouvrir l'accès

Pour donner une permission, tu choisis l'une de ces deux méthodes (ou les deux) :

Method A : La méthode "Utilisateur" (IAM Policy)

Method B : La méthode "Bucket" (Bucket Policy)

2. Comment S3 prend sa décision ?

Quand quelqu'un clique sur un fichier dans S3, AWS vérifie les permissions dans cet ordre :

1. Y a-t-il une interdiction (Deny) ? Si une règle dit "Interdit", c'est fini. L'accès est bloqué immédiatement, même si une autre règle disait oui.
2. Y a-t-il une autorisation (Allow) ? S'il n'y a pas de Deny, il faut au moins un Allow (soit sur l'utilisateur, soit sur le bucket) pour que ça passe.

3. Trois cas particuliers pour l'examen

Scénario 1 : Bloquer les fuites de données sur Internet

• Le besoin : Tu veux une sécurité absolue pour qu'aucun employé ne puisse rendre le bucket public par erreur.

• La solution : Block Public Access (BPA). C'est un gros bouton de sécurité activé par défaut qui bloque tout Internet.

Scénario 2 : Partager un fichier privé avec un client externe

• Le besoin : Un client (qui n'a pas de compte AWS) doit télécharger une facture privée ou uploader sa photo.

• La solution : Presigned URL (URL Présignée). Tu lui génères un lien magique, sécurisé et temporaire (valable 15 minutes par exemple).

Scénario 3 : Connecter tes serveurs privés à S3

• Le besoin : Tes serveurs AWS sont isolés du monde (pas d'Internet). Ils ont pourtant besoin de parler à S3.

• La solution : VPC Gateway Endpoint. Un tunnel privé qui relie tes serveurs à S3 sans jamais passer par Internet.