Ограничение доступа к Amazon S3

Question

[Riateche]

Хочу сделать автоматический бэкап БД сервера на Амазон, но так, чтобы в случае взлома сервера испортить бэкап было бы невозможно. То есть создать пользователя, у которого есть разрешение только загружать файлы (при условии, что файлов с тем же именем нет). Можно ли так сделать? Если можно, опишите подробнее последовательность действий.

Answer 1

[Влад Животнев]

Авторизация по ключу с правом на команду "%upload%", umask 222 для пользователя. Должно хватить, при условии, что рута не поломают. Ну а если поломают рута — тут уже ничего не поможет.

Comments

[Riateche]

Не могу никак понять. Здесь я создаю Access Key. По идее, потом надо Access Key ID прописать где-то там, где я настраиваю доступ. В свойствах bucket'а есть кнопка «add more permissions», но там в списке есть everyone, aut. users, log delivery, me или, видимо, можно что-то произвольное ввести, но я не знаю, что. Еще там есть «add bucket policy», открывается пустое окошко, в нем есть ссылка на «aws policy generator», а там оно просит в одном из полей Principal, а я не знаю, что это такое. Не пойму, как настроить.

Answer 2

[sledopit]

Удалить все, кроме ssh.
Создаете двух пользователей: один для администрирования, второй для копирования. Их можно явно указать в sshd_config (директива AllowUsers).
Ставите rssh, в /etc/rssh.conf расскоментируете allowscp и allowsftp, а у пользователя для копирования меняете шелл на /usr/bin/rssh.
После этого у вас будет то, что вы просите.

ps.
Для полноты эффекта отключаете авторизацию по паролям, ограничиваете как минимум диапазон подключаемых айпишников, через iptables закрываете все порты кроме порта для ssh, который перевешиваете от роботов на любой другой порт выше 1024.
Если уж совсем паранойя мучает, то можно реализовать port knocking (:

Comments

[Riateche]

Предполагается, что злоумышленник может получить физический доступ к диску сервера (а значит, и к ключу доступа на амазон).

[sledopit]

Ну так ключ для каждого пользователя свой. Если злоумышленник получит ключ от пользователя, который будет копировать, то он ничего сделать не сможет: доступ по ssh отключен, scp удалять не умеет.
Да и в конце концов, если вы планируете создать автоматизированный бэкап, не будет же у вас скрипт бэкапа каждый раз пароль запрашивать.

[sledopit]

А, тьфу, amazon s3, это же не отдельный сервер под линуксом. Виноват. Не читайте мои советы (:

Answer 3

[rPman]

-