As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

# Usar políticas de endpoint para controlar o acesso com VPC endpoints
<a name="vpc-vpce.policy"></a>

Este tópico explica como anexar uma política a endpoints de VPC para controlar o acesso à sua aplicação (serviço) e ao ambiente Elastic Beanstalk. 

Uma política de endpoint é uma política de recursos AWS Identity and Access Management (IAM) que controla o acesso do endpoint ao serviço especificado. A política de endpoint é específica ao endpoint. Ela é separada de outras políticas do IAM de usuário ou instância que seu ambiente possa ter e não as substitui. 

Por padrão, um VPC endpoint permite acesso total ao serviço ao qual está associado. Ao criar ou modificar um endpoint, você pode anexar uma *política de endpoint* para controlar o acesso a recursos específicos associados ao serviço. Para obter detalhes sobre a criação e o uso de políticas de endpoint de VPC, consulte [Controle o acesso aos endpoints da VPC usando políticas de endpoint](https://docs.aws.amazon.com/vpc/latest/privatelink/vpc-endpoints-access.html) no *Guia do AWS PrivateLink *. 

**nota**  
Ao criar políticas de endpoint restritivas, talvez você precise adicionar permissões específicas aos recursos necessários para que o acesso a esses recursos não seja bloqueado pela política de endpoint. Isso garante que seu ambiente continue a ser implementado e funcione adequadamente.

O exemplo a seguir nega a todos os usuários a permissão para encerrar um ambiente por meio do VPC endpoint e permite acesso total a todas as outras ações.

```
{
    "Statement": [
        {
            "Action": "*",
            "Effect": "Allow",
            "Resource": "*",
            "Principal": "*"
        },
        {
            "Action": "elasticbeanstalk:TerminateEnvironment",
            "Effect": "Deny",
            "Resource": "*",
            "Principal": "*"
        }
    ]
}
```

## Permissões de bucket do Amazon S3 necessárias para políticas restritivas de endpoint de VPC
<a name="AWSHowTo.S3.VPCendpoints"></a>

Se você adicionar restrições às suas políticas de endpoint de VPC, deverá incluir permissões específicas de bucket do Amazon S3 para garantir que o ambiente continue a ser implantado e funcione adequadamente. Esta seção explica os buckets S3 necessários e inclui exemplos de políticas.

**Topics**
+ [Buckets do S3 que armazenam ativos para gerenciar plataformas de ambiente](#AWSHowTo.S3.VPCendpoints.required-permissions.assets)
+ [S3 Buckets de propriedade da CloudFormation](#AWSHowTo.S3.VPCendpoints.required-permissions.cloudformation)
+ [Buckets do S3 pertencentes a contas de clientes para armazenar código-fonte e outros itens](#AWSHowTo.S3.VPCendpoints.required-permissions.items)
+ [Buckets do S3 pertencentes a contas de clientes para oferecer suporte à autenticação de registro do Docker](#AWSHowTo.S3.VPCendpoints.required-permissions.docker-auth)
+ [Atualizar sua política de endpoint de VPC](#AWSHowTo.S3.VPCendpoints.required-permissions.assets.permissions)

### Buckets do S3 que armazenam ativos para gerenciar plataformas de ambiente
<a name="AWSHowTo.S3.VPCendpoints.required-permissions.assets"></a>

O serviço Elastic Beanstalk possui buckets do S3 que armazenam os ativos associados a uma pilha de soluções (versão da plataforma). Esses ativos incluem arquivos de configuração, a aplicação de exemplo e os tipos de instância disponíveis. Quando o Elastic Beanstalk cria e gerencia seu ambiente, ele recupera as informações necessárias para a versão específica da plataforma do bucket de ativos para cada correspondente. Região da AWS

#### ARN do bucket do S3
<a name="AWSHowTo.S3.VPCendpoints.required-permissions.assets.arn"></a>

 `arn:aws:s3:::elasticbeanstalk-samples-region` 

Amazon Linux 2 e posterior
+  `arn:aws:s3:::elasticbeanstalk-platform-assets-region` 
**nota**  
O nome do bucket segue uma convenção diferente para a região *BJS*. A string *public-beta-cn-north-1* é usada no lugar de*region*. Por exemplo, .`arn:aws:s3:::elasticbeanstalk-platform-assets-public-beta-cn-north-1`

Windows Server, Amazon Linux (AMI), Amazon Linux 2 e versões posteriores
+  `arn:aws:s3:::elasticbeanstalk-env-resources-region` 
+  `arn:aws:s3:::elasticbeanstalk-region` 

**nota**  
Os nomes dos buckets para platform-assets e env-resources seguem convenções diferentes em algumas regiões. Consulte a seção de padrões de nomenclatura de bucket específicos da região abaixo para obter detalhes.

##### Padrões de ARN de buckets específicos da região
<a name="AWSHowTo.S3.VPCendpoints.region-specific-buckets.collapsed"></a>

[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/pt_br/elasticbeanstalk/latest/dg/vpc-vpce.policy.html)

#### Operações
<a name="AWSHowTo.S3.VPCendpoints.required-permissions.assets.operations"></a>

GetObject

#### Exemplo de política de endpoint de VPC
<a name="AWSHowTo.S3.VPCendpoints.required-permissions.assets.example"></a>

O exemplo a seguir ilustra como fornecer acesso aos buckets do S3 necessários para operações do Elastic Beanstalk na região Leste dos EUA (Ohio) (us-east-2). O exemplo lista todos os buckets das plataformas Amazon Linux e Windows Server. Atualize sua política para incluir apenas os buckets que se aplicam ao sistema operacional do ambiente. 

##### Exemplo de política
<a name="aAWSHowTo.S3.VPCendpoints.required-permissions.assets.example.collapsed"></a>

**Importante**  
Recomendamos que você evite usar caracteres curinga (\$1) no lugar das regiões específicas nessa política. Por exemplo, use `arn:aws:s3:::cloudformation-waitcondition-us-east-2/*` e não use `arn:aws:s3:::cloudformation-waitcondition-*/*`. O uso de curingas pode fornecer acesso a buckets do S3 aos quais você não pretende conceder acesso. Se você quiser usar a política para mais de uma região, recomendamos repetir o primeiro bloco `Statement` para cada região.

------
#### [ JSON ]

****  

```
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "AllowRequestsToAWSResources",
            "Effect": "Allow",
            "Principal": {"AWS": "*"},
            "Action": ["s3:GetObject"],
            "Resource": [
                "arn:aws:s3:::elasticbeanstalk-platform-assets-us-east-2/*",
                "arn:aws:s3:::elasticbeanstalk-env-resources-us-east-2/*",
                "arn:aws:s3:::elasticbeanstalk-env-resources-us-east-2/*",
                "arn:aws:s3:::elasticbeanstalk-samples-us-east-2/*"
            ]
         }
    ]
}
```

------

### S3 Buckets de propriedade da CloudFormation
<a name="AWSHowTo.S3.VPCendpoints.required-permissions.cloudformation"></a>

O Elastic CloudFormation Beanstalk usa para criar recursos para seu ambiente. CloudFormation possui buckets S3 em cada um Região da AWS para monitorar as respostas às condições de espera.

Serviços como o Elastic Beanstalk CloudFormation se comunicam enviando solicitações para uma URL pré-assinada do Amazon S3 para o bucket do S3 que possui. CloudFormation CloudFormation cria a URL pré-assinada do Amazon S3 usando `cloudformation.amazonaws.com` o principal do serviço.

*Para obter informações mais detalhadas, consulte [Considerações sobre CloudFormation VPC](https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/cfn-vpce-bucketnames.html#cfn-setting-up-vpc-considerations) endpoints no AWS CloudFormation Guia do usuário.* Para saber mais sobre pré-assinados URLs, consulte Como [trabalhar com pré-assinados URLs no Guia](https://docs.aws.amazon.com/AmazonS3/latest/userguide/using-presigned-url.html) do usuário do *Amazon S3*.

#### ARN do bucket do S3
<a name="AWSHowTo.S3.VPCendpoints.required-permissions.cloudformation.arn"></a>
+  `arn:aws:s3:::cloudformation-waitcondition-region` 

  Ao usar condições de espera, os nomes de região contêm traços. Por exemplo, *Oeste-EUA-2*.
+  `arn:aws:s3:::cloudformation-custom-resource-response-region` 

  Ao usar recursos personalizados, os nomes de região não contêm traços. Por exemplo: *uswest2*.

#### Operações
<a name="AWSHowTo.S3.VPCendpoints.required-permissions.cloudformation.operations"></a>

GetObject

#### Exemplo de política de endpoint de VPC
<a name="AWSHowTo.S3.VPCendpoints.required-permissions.cloudformation.example"></a>

O exemplo a seguir ilustra como fornecer acesso aos buckets do S3 necessários para operações do Elastic Beanstalk na região Leste dos EUA (Ohio) (us-east-2).

##### Exemplo de política
<a name="aAWSHowTo.S3.VPCendpoints.required-permissions.cloudformation.example.collapsed"></a>

**Importante**  
Recomendamos que você evite usar caracteres curinga (\$1) no lugar das regiões específicas nessa política. Por exemplo, use `arn:aws:s3:::cloudformation-waitcondition-us-east-2/*` e não use `arn:aws:s3:::cloudformation-waitcondition-*/*`. O uso de curingas pode fornecer acesso a buckets do S3 aos quais você não pretende conceder acesso. Se você quiser usar a política para mais de uma região, recomendamos repetir o primeiro bloco `Statement` para cada região.

------
#### [ JSON ]

****  

```
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "AllowRequestsToCloudFormation",
            "Effect": "Allow",
            "Principal": {"AWS": "*"},
            "Action": ["s3:GetObject"],
            "Resource": [
                "arn:aws:s3:::cloudformation-waitcondition-us-east-2/*",
                "arn:aws:s3:::cloudformation-custom-resource-response-us-east-2/*"
            ]
         }
    ]
}
```

------

### Buckets do S3 pertencentes a contas de clientes para armazenar código-fonte e outros itens
<a name="AWSHowTo.S3.VPCendpoints.required-permissions.items"></a>

Esse bucket é de propriedade da conta do AWS cliente que é proprietária do ambiente. Ele armazena recursos específicos do seu ambiente, como código-fonte e logs solicitados.

#### ARN do bucket do S3
<a name="AWSHowTo.S3.VPCendpoints.required-permissions.items.arn"></a>

 `arn:aws:s3:::elasticbeanstalk-region-account-id` 

#### Operações
<a name="AWSHowTo.S3.VPCendpoints.required-permissions.items.operations"></a>
+ GetObject
+ GetObjectAcl
+ PutObject
+ PutObjectAcl
+ ListBucket

#### Exemplo de política de endpoint de VPC
<a name="AWSHowTo.S3.VPCendpoints.required-permissions.items.example"></a>

O exemplo a seguir ilustra como fornecer acesso aos buckets do S3 necessários para as operações do Elastic Beanstalk na região Leste dos EUA (Ohio) (us-east-2) e para o exemplo de ID de conta 123456789012. AWS 

##### Exemplo de política
<a name="aAWSHowTo.S3.VPCendpoints.required-permissions.items.example.collapsed"></a>

**Importante**  
Recomendamos que você evite usar caracteres curinga (\$1) no lugar das regiões específicas nessa política. Por exemplo, use `arn:aws:s3:::cloudformation-waitcondition-us-east-2/*` e não use `arn:aws:s3:::cloudformation-waitcondition-*/*`. O uso de curingas pode fornecer acesso a buckets do S3 aos quais você não pretende conceder acesso. Se você quiser usar a política para mais de uma região, recomendamos repetir o primeiro bloco `Statement` para cada região.

------
#### [ JSON ]

****  

```
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "AllowRequestsToCustomerItems",
            "Effect": "Allow",
            "Principal": {"AWS": "*"},
            "Action": [
               "s3:GetObject",
               "s3:GetObjectAcl",
               "s3:PutObject",
               "s3:PutObjectAcl",
               "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::elasticbeanstalk-us-east-2-123456789012/*"
            ]
         }
    ]
}
```

------

### Buckets do S3 pertencentes a contas de clientes para oferecer suporte à autenticação de registro do Docker
<a name="AWSHowTo.S3.VPCendpoints.required-permissions.docker-auth"></a>

Esse bucket só se aplica a ambientes baseados na plataforma Docker. O bucket armazena um arquivo usado para autenticação em um registro privado do Docker que reside em um bucket do S3 provisionado pelo cliente. Para obter mais informações, consulte [Usando o arquivo `Dockerrun.aws.json` v3](docker-configuration.remote-repo.md#docker-configuration.remote-repo.dockerrun-aws) no capítulo sobre a plataforma Docker deste guia.

#### ARN do bucket do S3
<a name="AWSHowTo.S3.VPCendpoints.required-permissions.docker-auth.arn"></a>

O ARN varia de acordo com a conta do cliente.

O ARN do bucket do S3 tem o seguinte formato: `arn:aws:s3:::bucket-name`

#### Operações
<a name="AWSHowTo.S3.VPCendpoints.required-permissions.docker-auth.operations"></a>

GetObject

#### Exemplo de política de endpoint de VPC
<a name="AWSHowTo.S3.VPCendpoints.required-permissions.docker-auth.example"></a>

O exemplo a seguir ilustra como fornecer acesso a um bucket do S3 com o nome amzn-s3-demo-bucket1.

##### Exemplo de política
<a name="AWSHowTo.S3.VPCendpoints.required-permissions.docker-auth.example.collapsed"></a>

------
#### [ JSON ]

****  

```
  {
  "Version":"2012-10-17",		 	 	 
  "Statement": [
     {
        "Sid": "AllowRequestsToDockerRegistryAuth",
         "Effect": "Allow",
         "Action": [
            "s3:GetObject"
          ],
      "Resource": [
        "arn:aws:s3:::amzn-s3-demo-bucket1"
      ]
    }
  ]
}
```

------

### Atualizar sua política de endpoint de VPC
<a name="AWSHowTo.S3.VPCendpoints.required-permissions.assets.permissions"></a>

Como um endpoint de VPC tem apenas uma política anexada, você deve combinar todas as permissões em uma única política. O exemplo a seguir fornece todos os exemplos anteriores combinados em um só. 

Para obter detalhes sobre a criação e o uso de políticas de endpoint de VPC, consulte [Controle o acesso aos endpoints da VPC usando políticas de endpoint](https://docs.aws.amazon.com/vpc/latest/privatelink/vpc-endpoints-access.html) no *Guia do AWS PrivateLink *. 

Assim como os exemplos anteriores, o exemplo a seguir ilustra como fornecer acesso aos buckets do S3 necessários para as operações do Elastic Beanstalk na região leste dos EUA (Ohio) (us-east-2). Também inclui buckets com exemplo de ID de AWS conta 123456789012 e nome de bucket de exemplo amzn-s3-demo-bucket1.

**Importante**  
Recomendamos que você evite usar caracteres curinga (\$1) no lugar das regiões específicas nessa política. Por exemplo, use `arn:aws:s3:::cloudformation-waitcondition-us-east-2/*` e não use `arn:aws:s3:::cloudformation-waitcondition-*/*`. O uso de curingas pode fornecer acesso a buckets do S3 aos quais você não pretende conceder acesso. Se você quiser usar a política para mais de uma região, recomendamos repetir o primeiro bloco `Statement` para cada região.

------
#### [ JSON ]

****  

```
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "AllowRequestsToAWSResources",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::elasticbeanstalk-platform-assets-us-east-2/*",
                "arn:aws:s3:::elasticbeanstalk-env-resources-us-east-2/*",
                "arn:aws:s3:::elasticbeanstalk-samples-us-east-2/*"
            ]
        },
        {
            "Sid": "AllowRequestsToCloudFormation",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::cloudformation-waitcondition-us-east-2/*",
                "arn:aws:s3:::cloudformation-custom-resource-response-us-east-2/*"
            ]
        },
        {
            "Sid": "AllowRequestsToCustomerItems",
            "Effect": "Allow",
            "Action": [
               "s3:GetObject",
               "s3:GetObjectAcl",
              "s3:PutObject",
               "s3:PutObjectAcl",
               "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::elasticbeanstalk-us-east-2-123456789012/*"
            ]
        },
        {
            "Sid": "AllowRequestsToDockerRegistryAuth",
            "Effect": "Allow",
            "Action": [
            "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket1"
            ]
        }
    ]
}
```

------