S3 Bucket Policy

Définition

Une S3 Bucket Policy est une politique de ressource attachée directement à un bucket Amazon S3 qui contrôle l'accès à ce bucket et à ses objets. Contrairement aux politiques IAM (attachées aux identités), les Bucket Policies sont attachées à la ressource elle-même et peuvent accorder des accès à des utilisateurs d'autres comptes AWS, à des services AWS, ou même à des accès anonymes (publics) — ce qui en fait un vecteur d'erreur de configuration fréquent. La syntaxe d'une Bucket Policy est identique aux politiques IAM : Effect (Allow/Deny), Principal (qui peut accéder — "*" pour le public), Action (s3:GetObject, s3:PutObject, etc.), Resource (ARN du bucket ou des objets), et Condition (restrictitons optionnelles comme l'IP source, le VPC, le MFA, le chiffrement requis). Les Bucket Policies sont au cœur de nombreuses fuites de données S3 majeures. Une policy accordant Principal: "*" sans conditions suffisantes rend le bucket et ses objets accessibles à n'importe qui sur Internet. La capacité S3 Block Public Access (activable au niveau du compte ou du bucket) prévient cette erreur en bloquant toute politique ou ACL rendant des objets publics, même si la politique tente de l'autoriser. Les usages légitimes des Bucket Policies incluent : partage inter-comptes (accorder l'accès à un compte partenaire pour lire des rapports), intégration de services AWS (permettre à CloudFront de servir des objets depuis S3 via OAC - Origin Access Control), restriction aux connexions depuis un VPC uniquement (condition aws:SourceVpc), exigence du chiffrement en transit (condition aws:SecureTransport: true), et exigence d'un chiffrement spécifique lors de l'upload (s3:x-amz-server-side-encryption). L'analyse automatisée des Bucket Policies est possible via AWS IAM Access Analyzer (détecte les politiques accordant un accès public ou inter-comptes non prévu) et les solutions CSPM qui scannent continuellement les configurations S3.