S3: الأمان والتشفير

في الجزء الخامس عشر عرفنا إن كل شي خاص افتراضياً، وإن Block Public Access يحميك من الفتح بالغلط. هذا الجزء يكمل الطبقات الباقية: التشفير، ومشاركة الملفات بأمان، وحماية البيانات حتى من مسؤولي الحساب نفسهم.

التشفير المخزّن #

عندك سؤالين: وين يصير التشفير؟ ومين يمسك المفتاح؟

انتبه مع SSE-KMS #

كل قراءة أو كتابة تنادي KMS، وKMS له حد لعدد الطلبات في الثانية حسب الـ Region. فلو عندك ضغط عالي، فعّل S3 Bucket Keys: مفتاح وسيط على مستوى الحاوية يقلل طلبات KMS بنسبة كبيرة، ومعها التكلفة.

ولازم من يقرأ الكائن يكون عنده صلاحية على S3 وعلى مفتاح KMS معاً. وهذا سبب مشهور لخطأ AccessDenied رغم إن سياسة S3 صحيحة.

التشفير أثناء النقل #

S3 تقبل HTTP وHTTPS. وعشان تفرض HTTPS، ارفض أي طلب غير مشفّر عبر الشرط aws:SecureTransport:

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Deny",
    "Principal": "*",
    "Action": "s3:*",
    "Resource": [
      "arn:aws:s3:::my-bucket",
      "arn:aws:s3:::my-bucket/*"
    ],
    "Condition": { "Bool": { "aws:SecureTransport": "false" } }
  }]
}

وبنفس الطريقة تقدر تفرض نوع تشفير معين على كل رفع. والسياسة تُقيَّم قبل التشفير الافتراضي، فلو رفضت الطلب ما يوصل له أصلاً.

مشاركة ملف خاص: الروابط الموقّعة #

تبي عميل يحمّل فاتورته، بدون ما تفتح الحاوية ولا تعطيه حساب؟ Pre-signed URL رابط فيه توقيع وله مدة صلاحية:

• يحمل صلاحيات اللي وقّعه، فلو هو ما يقدر يقرأ الملف، الرابط ما يشتغل.
• ينفع للتحميل والرفع، مثل رفع صورة من المتصفح مباشرة لـ S3 بدون المرور بسيرفرك.
• مدته محدودة، ولو وقّعته بدور مؤقت ينتهي مع انتهاء الجلسة.

CORS: لما يمنعك المتصفح #

CORS حماية في المتصفح، مو في S3. الأصل (Origin) هو البروتوكول والنطاق والمنفذ. فلو صفحة على https://app.example.com طلبت ملف من https://my-bucket.s3.amazonaws.com، فالمتصفح يعتبرهم أصلين مختلفين، ويسأل الحاوية: تسمحين؟

لو طلع عندك خطأ CORS في المتصفح، أضف الإعدادات للحاوية:

[{
  "AllowedOrigins": ["https://app.example.com"],
  "AllowedMethods": ["GET", "PUT"],
  "AllowedHeaders": ["*"],
  "MaxAgeSeconds": 3000
}]

الحماية من الحذف #

حتى الصلاحيات الصحيحة ما تحميك من خطأ، أو حساب مخترق، أو برامج الفدية. عندك ثلاث طبقات:

أوضاع Object Lock #

وفيه كمان Legal Hold: قفل بدون مدة محددة، يبقى لين تشيله، ومفيد للقضايا القانونية.

السجلات والمراقبة #

• Access Logs: تسجّل كل طلب في حاوية ثانية. لا تخليها نفس الحاوية، لأن كل سجل يولّد سجل جديد، فتكبر بلا نهاية وتكبر الفاتورة.
• CloudTrail: يسجّل عمليات الإدارة، وعمليات البيانات لو فعّلتها، وبنشرحه في الجزء الخامس والعشرين.

Access Points: لكل فريق بوابته #

لو عندك حاوية كبيرة يستخدمها فرق كثيرة، Bucket Policy تصير طويلة وخطرة. Access Points تعطي كل فريق بوابة باسمها وسياستها:

• بوابة finance تسمح لفريق المالية على finance/* فقط.
• بوابة sales تسمح لفريق المبيعات على sales/* فقط.
• وتقدر تخلي بوابة تقبل من داخل VPC واحدة فقط.

عملي: تشفير ورابط موقّع وفرض HTTPS #

بنكمل بنفس الحاوية في BUCKET. ارفع ملف وشوف تشفيره الافتراضي، ثم ارفع واحد بـ KMS:

echo "secret invoice" > invoice.txt
aws s3 cp invoice.txt s3://$BUCKET/invoice.txt

aws s3api head-object --bucket $BUCKET --key invoice.txt \
  --query ServerSideEncryption

aws s3 cp invoice.txt s3://$BUCKET/invoice-kms.txt --sse aws:kms

aws s3api head-object --bucket $BUCKET --key invoice-kms.txt \
  --query "[ServerSideEncryption,SSEKMSKeyId]"

الأول AES256 يعني SSE-S3، والثاني aws:kms مع معرّف المفتاح.

الحين سوّ رابط موقّع مدته 60 ثانية، وجرّبه:

URL=$(aws s3 presign s3://$BUCKET/invoice.txt --expires-in 60)

curl -s "$URL"

يطبع محتوى الملف، مع إن الحاوية خاصة. انتظر دقيقة وأعد نفس أمر curl، وبيرجع AccessDenied مع رسالة إن الطلب منتهي.

والآن افرض HTTPS على الحاوية:

aws s3api put-bucket-policy --bucket $BUCKET --policy '{
  "Version": "2012-10-17",
  "Statement": [{
    "Sid": "DenyHttp",
    "Effect": "Deny",
    "Principal": "*",
    "Action": "s3:*",
    "Resource": ["arn:aws:s3:::'$BUCKET'", "arn:aws:s3:::'$BUCKET'/*"],
    "Condition": {"Bool": {"aws:SecureTransport": "false"}}
  }]
}'

URL=$(aws s3 presign s3://$BUCKET/invoice.txt --expires-in 300)

curl -s -o /dev/null -w "https: %{http_code}\n" "$URL"
curl -s -o /dev/null -w "http: %{http_code}\n" "${URL/https:/http:}"

نفس الرابط يرجع 200 مع HTTPS و403 مع HTTP.

الخلاصة #

• كل كائن جديد مشفّر بـ SSE-S3 تلقائياً، واختر SSE-KMS لو تبي تحكم وسجل، مع Bucket Keys.
• افرض HTTPS بشرط aws:SecureTransport.
• الروابط الموقّعة تشارك ملف خاص مؤقتاً بدون فتح الحاوية.
• CORS من المتصفح، وتحله بإعدادات الحاوية.
• Object Lock يحميك من الحذف، حتى من الجذر في وضع Compliance.

اختبر نفسك #

قبل ما تكمل، جرّب هذي الأسئلة عشان تتأكد إنك فهمت الجزء. كل سؤال موقف عملي، وبعد ما تجاوب يطلع لك الشرح.

S3 مو الخيار الوحيد. لو عندك نظام Windows، أو مكتب يبي يوصل لتخزين السحابة، أو ملايين الملفات تبي تنقلها؟ في الجزء الثامن عشر نغطي خدمات التخزين والنقل الباقية.