S3 存储桶权限更改时的电子邮件通知

Question

如果有人更新了特定 S3 存储桶内对象的列表、写入、读取、公开对象等权限，我希望获取到特定邮件 ID 的电子邮件通知。

我们的组织中有多个人可以允许访问 S3 存储桶。每个人都可以上传/下载自己的团队相关文件。这样做时，有些人会犯错误，将整个存储桶设为公开，或启用写入和列出权限。当此权限启用且无法立即采取行动撤销该权限时，我们无法识别此问题。为避免这种情况，我们需要在有人更改特定 S3 存储桶的权限时通知邮件服务。

请帮助如何处理这种情况。

Answer 1

编写更好的权限，将低级别用户的独占拒绝权限附加到特定存储桶，这将推翻现有的不良策略。即使您在有人更改存储桶策略时收到通知，您也可能需要一些时间来采取行动。可以进行 CloudTrail API 检测和电子邮件通知，但仍会存在漏洞。我认为努力应该主要集中在确定访问权限上，然后是基于事件的电子邮件触发器。

@Amit 为此分享了正确的文章：How to Detect and Automatically Remediate Unintended Permissions in Amazon S3 Object ACLs with CloudWatch Events | AWS Security Blog