Что такое Block Public Access и зачем он нужен

Block Public Access в S3 — это набор глобальных «защитных» настроек на уровне аккаунта и бакета, который блокирует публичный доступ к объектам, даже если ACL или bucket policy его разрешают. Он нужен, чтобы по умолчанию закрыть данные от интернета, минимизировать риск утечек из-за ошибочных политик и упростить соблюдение требований безопасности. При конфликте всегда побеждает Block Public Access: публичный доступ не будет выдан, даже если политика его разрешает.

Block Public Access (S3 Block Public Access) — это дополнительный защитный слой поверх ACL и bucket policies, который не даёт сделать бакет или объекты публичными, пока вы явно и осознанно это не разрешите. Его задача — защитить от человеческих ошибок вроде чрезмерно широких политик с Principal: "*" или публичных ACL.

Block Public Access работает на двух основных уровнях:

• Уровень аккаунта. Включённые флаги применяются ко всем существующим и будущим бакетам в аккаунте. Это хороший «жёсткий дефолт» для production: по умолчанию никакой публичности, а исключения делаются точечно и под контролем.
• Уровень бакета. Можно задать более строгие или, наоборот, менее строгие правила для конкретного бакета, чем на уровне аккаунта. Например, один бакет оставить способным быть публичным (статический сайт), а все остальные — полностью закрыть.
• Основные флаги управляют тем, что именно блокируется: создание и использование публичных ACL, применение bucket policy, дающей публичный доступ, а также некоторые варианты кросс-аккаунт доступа, если из них следует публичность. При включении соответствующих флагов любая попытка сделать бакет/объекты общедоступными будет либо отклонена, либо проигнорирована.
• Зачем нужен. Он снижает риск случайного открытия данных наружу, поддерживает принципы default deny и least privilege и помогает проходить аудиты: вы можете уверенно сказать, что без явного решения ответственных лиц публичного доступа нет.
• Типичные сценарии. Логи, бэкапы, клиентские данные, внутренние артефакты — держат под включённым Block Public Access всегда. Для действительно публичных ресурсов (например, статика сайта) либо точечно ослабляют настройки на уровне конкретного бакета, либо выдают доступ через CloudFront или другой фронт, по-прежнему стараясь минимизировать прямой публичный доступ к бакету.
• Что важно показать на собеседовании. Block Public Access не заменяет IAM и bucket policies, а накладывает поверх них «верхнюю границу» разрешений. Если политика позволяет публичный доступ, но Block Public Access его блокирует, итоговое решение — запрет, и именно этим он и ценен как дополнительный предохранитель.

Пример политики, которая без Block Public Access сделала бы бакет публичным, но будет заблокирована, если включён запрет на публичные bucket policies:

Аналогично, даже если кто-то попытается выставить объекту публичную ACL вроде public-read, при включённом флаге блокировки публичных ACL эта операция будет либо запрещена, либо её эффект будет проигнорирован — объект останется непубличным.