Einen privaten S3-Bucket anlegen und eine Datei per temporärem Link teilen

Amazon S3 ist der Dateispeicher von AWS: Backups, Dokumente, Bilder, was auch immer. Der klassische Fehler ist, einen Bucket öffentlich zu machen, um jemandem einen Link geben zu können. Das ist nicht nötig, und es ist die Ursache eines guten Teils der Datenlecks, die in der Presse landen. S3 kann einen temporären Link (vorsignierte URL) auf eine bestimmte Datei erzeugen, der so lange funktioniert, wie Sie festlegen, und danach nicht mehr, bei vollständig geschlossenem Bucket.

Diese Anleitung richtet den Bucket von Anfang an richtig ein und zeigt Ihnen die zwei Wege, den Link zu erzeugen: mit der Maus und mit einem Befehl.

Schritt für Schritt

1. Legen Sie den Bucket mit blockiertem öffentlichem Zugriff an

   In der S3-Konsole, Bucket erstellen. Der Name ist in ganz AWS eindeutig, also verwenden Sie so etwas wie copias-miempresa-2026, in Kleinbuchstaben und ohne Leerzeichen. Wählen Sie die Region, in der Ihre übrigen Dinge liegen. Unter Einstellungen zum Blockieren des öffentlichen Zugriffs lassen Sie das Häkchen Jeglichen öffentlichen Zugriff blockieren gesetzt: Das ist die Voreinstellung und sie ist richtig. Weiter unten aktivieren Sie die standardmäßige Verschlüsselung (SSE-S3 genügt) und, wenn Sie wichtige Dinge speichern werden, die Versionsverwaltung, die frühere Versionen einer Datei aufbewahrt, wenn Sie sie überschreiben oder löschen.

2. Laden Sie die Datei hoch

   Öffnen Sie den Bucket, Hochladen, ziehen Sie die Datei hinein und klicken Sie auf Hochladen. Sie können Ordner anlegen, um Ordnung zu halten; in S3 sind Ordner nur Teil des Dateinamens, aber in der Konsole funktionieren sie wie erwartet. Wenn es fertig ist, klicken Sie auf die Datei: Sie sehen ihre Objekt-URL. Öffnen Sie sie im Browser, bekommen Sie "Access Denied". Perfekt: Das heißt, der Bucket ist geschlossen.

3. Erzeugen Sie den temporären Link aus der Konsole

   Bei ausgewählter Datei, Menü Aktionen, Mit einer vorsignierten URL teilen. Wählen Sie, wie lange er funktionieren soll (Minuten oder Stunden; die Konsole erlaubt höchstens einige Stunden) und klicken Sie auf Erstellen. Die URL wird in die Zwischenablage kopiert. Sie ist lang und enthält eine Signatur: Jeder, der sie hat, kann diese Datei herunterladen, bis sie abläuft, und sonst nichts.

4. Oder erzeugen Sie den Link aus CloudShell

   Wenn Sie ihn öfter brauchen oder eine längere Frist wollen, öffnen Sie CloudShell (Terminal-Symbol in der Konsole) und geben Sie ein:

   aws s3 presign s3://copias-miempresa-2026/informes/octubre.pdf --expires-in 86400

   Die Zahl sind Sekunden: 86400 ist ein Tag. Den zurückgegebenen Link können Sie in eine E-Mail oder einen Chat einfügen. Die maximale Frist hängt von der Art der Anmeldedaten ab, mit denen Sie signieren; mit einem Zugriffsschlüssel eines IAM-Benutzers sind bis zu einer Woche möglich.

5. Geben Sie den Link weiter und prüfen Sie, dass er abläuft

   Schicken Sie ihn der Person, die die Datei herunterladen soll. Nach Ablauf der Frist liefert der Link den Fehler "Request has expired". Braucht ihn jemand erneut, erzeugen Sie einen neuen: Das dauert einen Moment. Am Bucket müssen Sie nichts löschen oder ändern.

6. Wenn Sie einen öffentlichen Bucket geerbt haben, schließen Sie ihn

   In der Bucket-Liste sagt Ihnen die Spalte Zugriff, ob einer öffentlich ist. Öffnen Sie ihn, Reiter Berechtigungen, aktivieren Sie Jeglichen öffentlichen Zugriff blockieren und entfernen Sie die Bucket-Richtlinie, die ihn geöffnet hat. Für Dateien, die wirklich öffentlich sein müssen (zum Beispiel Bilder einer Website), ist der richtige Weg danach, sie über CloudFront auszuliefern, nicht den Bucket zu öffnen.

Was schiefgehen kann