Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Konfiguration von S3-Zielen für geplante Abfragen

Konfigurieren Sie Amazon S3 als Ziel, um Ihre geplanten Abfrageergebnisse als JSON-Dateien zur langfristigen Aufbewahrung und Analyse zu speichern.

Wenn Sie Amazon S3 als Ziel verwenden, werden die Abfrageergebnisse als JSON-Dateien im angegebenen Bucket und Präfix gespeichert. Diese Option ist ideal für die Archivierung von Ergebnissen, die Durchführung von Batch-Analysen oder die Integration mit anderen AWS Diensten, die S3-Daten verarbeiten.

Sie können Abfrageergebnisse an einen Amazon S3-Bucket in demselben AWS Konto wie die geplante Abfrage oder an einen Bucket in einem anderen AWS Konto senden. Optional können Sie die Abfrageergebnisse auch mit einem vom Kunden verwalteten AWS KMS Schlüssel (SSE-KMS) verschlüsseln.

Bereitstellung der Ergebnisse an einen Amazon S3-Bucket im selben Konto

Wenn sich der Amazon S3-Ziel-Bucket im selben AWS Konto wie die geplante Abfrage befindet, können Sie den Bucket direkt von der Konsole aus durchsuchen und auswählen.

Für die IAM-Rolle für die Zielzustellung sind die folgenden Berechtigungen erforderlich:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::my-bucket/prefix/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "111122223333"
                }
            }
        }
    ]
}

Bereitstellung von Ergebnissen an einen Amazon S3-Bucket in einem anderen Konto

Sie können geplante Abfrageergebnisse an einen Amazon S3-Bucket in einem anderen AWS Konto senden. Wenn Sie einen kontoübergreifenden Bucket verwenden, müssen Sie die Amazon S3-URI und die Konto-ID des Kontos angeben, das den Bucket besitzt.

Cross-account Für die Lieferung sind Genehmigungen auf beiden Seiten erforderlich. Für die IAM-Rolle für die Zielzustellung im Quellkonto sind die folgenden Berechtigungen erforderlich:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::cross-account-bucket/prefix/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "123456789012"
                }
            }
        }
    ]
}

Die Amazon S3-Bucket-Richtlinie im Zielkonto muss der IAM-Rolle des Quellkontos die Berechtigung zum Schreiben von Objekten gewähren:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowScheduledQueryRolePutObject",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:role/my-s3-delivery-role"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::cross-account-bucket/prefix/*"
        }
    ]
}

Verschlüsselung der Ergebnisse, die von einem Kunden verwaltet werden AWS KMS Schlüssel

Sie können optional einen vom Kunden verwalteten AWS KMS Schlüssel angeben, um die an Amazon S3 übermittelten Abfrageergebnisse mit zu verschlüsseln. SSE-KMS Der AWS KMS Schlüssel kann sich im selben Konto wie die geplante Abfrage oder in einem anderen Konto befinden.

Wenn Sie einen AWS KMS Schlüssel angeben, verwendet die geplante Abfrage diesen Schlüssel zum Verschlüsseln der Ergebnisse über SSE-KMS. Wenn Sie keinen AWS KMS Schlüssel angeben, gelten die Standardverschlüsselungseinstellungen des Buckets. Wenn der Bucket mit SSE-KMS Standardverschlüsselung unter Verwendung eines vom Kunden verwalteten Schlüssels konfiguriert ist, muss die IAM-Rolle für die Zielzustellung weiterhin über die kms:GenerateDataKey Berechtigung für diesen Schlüssel verfügen.

Für die IAM-Rolle für die Zielzustellung ist eine kms:GenerateDataKey Genehmigung für den AWS KMS Schlüssel erforderlich. Das folgende Beispiel zeigt die erforderlichen Berechtigungen für ein Amazon S3-Ziel mit einem vom Kunden verwalteten AWS KMS Schlüssel:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::my-bucket/prefix/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "111122223333"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "kms:GenerateDataKey",
            "Resource": "arn:aws:kms:us-east-1:111122223333:key/key-id",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "s3.us-east-1.amazonaws.com"
                },
                "StringLike": {
                    "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::my-bucket*"
                }
            }
        }
    ]
}

Wenn sich der AWS KMS Schlüssel in einem anderen Konto als der IAM-Rolle für die Zielzustellung befindet, muss die AWS KMS Schlüsselrichtlinie im Konto, das den Schlüssel besitzt, der Rolle explizit Zugriff gewähren:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowScheduledQueryRoleToEncrypt",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:role/my-s3-delivery-role"
            },
            "Action": "kms:GenerateDataKey",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "s3.us-east-1.amazonaws.com"
                },
                "StringLike": {
                    "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::my-bucket*"
                }
            }
        }
    ]
}

Die IAM-Rolle für die Veröffentlichung von Abfrageergebnissen in Amazon S3 muss getrennt von der IAM-Rolle für die geplante Abfrageausführung konfiguriert werden. Diese Trennung ermöglicht eine fein abgestufte Zugriffskontrolle, bei der die Ausführungsrolle Abfragen ausführen kann, während die Amazon S3-Rolle speziell für die Ergebnisbereitstellung zuständig ist. Beide Rollen müssen eine Vertrauensrichtlinie enthalten, die es dem CloudWatch Logs-Service (logs.amazonaws.com) ermöglicht, die Rolle zu übernehmen.