Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

S3-Speicher | Erstellen

Erstellen Sie einen Amazon S3 S3-Bucket für Cloud-Speicher.

Vollständige Klassifizierung: Bereitstellung | Erweiterte Stack-Komponenten | S3-Speicher | Erstellen

Typdetails ändern

Zusätzliche Informationen

S3-Speicher erstellen

S3-Speicher-Bucket: Beispiel für resultierende Richtlinien erstellen

Je nachdem, wie Sie Ihren Amazon S3 S3-Speicher-Bucket erstellt haben, haben Sie Richtlinien erstellt. Diese Beispielrichtlinien entsprechen verschiedenen Amazon S3 S3-Erstellungsszenarien, die unter bereitgestellt werdenEinen S3-Bucket mit der CLI erstellen.

Gewährt einem IAM-Benutzer oder einer Rolle LESEzugriff

Die resultierende Beispielrichtlinie gewährt einem IAM-Benutzer oder einer IAM-Rolle READ-Zugriff auf die Objekte im Bucket:

{
          "Sid": "AllowBucketReadActionsForArns",
          "Effect": "Allow",
          "Principal": {
              "AWS": [
                  "arn:aws:iam::123456789123:role/roleA”,
                  "arn:aws:iam::987654321987:role/roleB”
              ]
          },
          "Action": [
              "s3:GetBucketAcl",
              "s3:GetBucketLocation",
              "s3:ListBucket"
          ],
          "Resource": "arn:aws:s3:::ACCOUNT-ID.BUCKET_NAME"
      },
      {
          "Sid": "AllowObjectReadActionsForArns",
          "Effect": "Allow",
          "Principal": {
              "AWS": [
                  "arn:aws:iam::123456789123:role/roleA”,
                  "arn:aws:iam::987654321987:role/roleB”
              ]
          },
          "Action": [
              "s3:GetObject",
              "s3:ListMultipartUploadParts"
          ],
          "Resource": "arn:aws:s3:::ACCOUNT-ID.amzn-s3-demo-bucket/*"
}

Die Ausführungsparameter für die Erstellung dieser Richtlinie mit dem Änderungstyp Create für den S3-Speicher-Bucket finden Sie unter Einen S3-Bucket mit der CLI erstellen

Gewährt einem IAM-Benutzer oder einer Rolle WRITE-Zugriff

Die folgende Beispielrichtlinie gewährt einem IAM-Benutzer oder einer IAM-Rolle WRITE-Zugriff auf die Objekte im Bucket. Diese Richtlinie gewährt nicht die Berechtigungen, die zum Löschen versionierter Objekte erforderlich sind.

{
          "Sid": "AllowObjectWriteActionsForArns",
          "Effect": "Allow",
          "Principal": {
              "AWS": [
                  "arn:aws:iam::123456789123:role/roleA”,
                  "arn:aws:iam::987654321987:role/roleB”
              ]
          },
          "Action": [
              "s3:PutObject",
              "s3:DeleteObject",
              "s3:AbortMultipartUpload"
          ],
          "Resource": "arn:aws:s3:::ACCOUNT-ID.amzn-s3-demo-bucket/*"
}

Die Ausführungsparameter für die Erstellung dieser Richtlinie mit dem Änderungstyp Create für den S3-Speicher-Bucket finden Sie unter Einen S3-Bucket mit der CLI erstellen

Gewährt READ-Zugriff für einen AWS-Service

Die resultierende Beispielrichtlinie gewährt READ-Zugriff auf die Objekte im Bucket für einen AWS-Service:

{
          "Sid": "AllowBucketReadActionsForServcices",
          "Effect": "Allow",
          "Principal": {
              "Service": [
                  "rds.amazonaws.com",
                  "logs.ap-southeast-2.amazonaws.com",
                  "ec2.amazonaws.com"
              ]
          },
          "Action": [
              "s3:GetBucketAcl",
              "s3:GetBucketLocation",
              "s3:ListBucket"
          ],
          "Resource": "arn:aws:s3:::ACCOUNT-ID.amzn-s3-demo-bucket/*"
      },
      {
          "Sid": "AllowObjectReadActionsForServcices",
          "Effect": "Allow",
          "Principal": {
              "Service": [
                  "rds.amazonaws.com",
                  "logs.ap-southeast-2.amazonaws.com",
                  "ec2.amazonaws.com"
              ]
          },
          "Action": [
              "s3:GetObject",
              "s3:ListMultipartUploadParts"
          ],
          "Resource": "arn:aws:s3:::ACCOUNT-ID.amzn-s3-demo-bucket/*"
}

Die Ausführungsparameter für die Erstellung dieser Richtlinie mit dem Änderungstyp Create für den S3-Speicher-Bucket finden Sie unter Einen S3-Bucket mit der CLI erstellen

Gewährt WRITE-Zugriff für einen AWS-Service

Die folgende Beispielrichtlinie gewährt WRITE-Zugriff auf die Objekte im Bucket für einen AWS-Service. Diese Richtlinie gewährt nicht die Berechtigungen, die zum Löschen versionierter Objekte erforderlich sind.

{
      "Sid": "AllowObjectWriteActionsForServcices",
      "Effect": "Allow",
      "Principal": {
        "Service": [
            "rds.amazonaws.com",
            "logs.ap-southeast-2.amazonaws.com",
            "ec2.amazonaws.com"
        ]
    },
    "Action": [
          "s3:PutObject",
          "s3:DeleteObject",
          "s3:AbortMultipartUpload"
      ],
      "Resource": "arn:aws:s3:::ACCOUNT-ID.amzn-s3-demo-bucket/*"
}

Die Ausführungsparameter für die Erstellung dieser Richtlinie mit dem Änderungstyp Create für den S3-Speicher-Bucket finden Sie unter Einen S3-Bucket mit der CLI erstellen

Benutzt EnforceSecureTransport

Daraus resultierendes Beispiel für eine Richtlinie zur Durchsetzung eines sicheren Transports:

{
          "Sid": "EnforceSecureTransport",
          "Effect": "Deny",
          "Principal": "*",
          "Action": "*",
          "Resource": "arn:aws:s3:::ACCOUNT-ID.amzn-s3-demo-bucket/*",
          "Condition": {
              "Bool": {
                  "aws:SecureTransport": "false"
              }
          }
}

Die Ausführungsparameter für die Erstellung dieser Richtlinie mit dem Änderungstyp Create des S3-Speicher-Buckets finden Sie unter Einen S3-Bucket mit der CLI erstellen

Beschränkt den Zugriff auf den IP-Bereich

Daraus resultierendes Beispiel für eine Richtlinie, die den Zugriff auf den Bucket von einer Reihe von IP-Bereichen aus einschränkt:

{
          "Sid": "RestrictBasedOnIPRanges",
          "Effect": "Deny",
          "Principal": "*",
          "Action": "s3:*",
          "Resource": "arn:aws:s3:::ACCOUNT-ID.amzn-s3-demo-bucket/*",
          "Condition": {
              "NotIpAddress": {
                  "aws:SourceIp": [
                      “1.2.3.0/24",
                      “2.3.4.0/24"
                  ]
              }
          }
      }

Die Ausführungsparameter für die Erstellung dieser Richtlinie mit dem Änderungstyp S3-Speicher-Bucket Create finden Sie unter Einen S3-Bucket mit der CLI erstellen

Eingabeparameter für die Ausführung

Ausführliche Informationen zu den Eingabeparametern der Ausführung finden Sie unterSchema für den Änderungstyp ct-1a68ck03fn98r.

Beispiel: Erforderliche Parameter

{
  "DocumentName" : "AWSManagedServices-CreateBucket",
  "Region": "us-east-1",
  "Parameters": {
    "BucketName": "mybucket"
  }
}

Beispiel: Alle Parameter

{
  "DocumentName" : "AWSManagedServices-CreateBucket",
  "Region": "us-east-1",
  "Parameters": {
    "BucketName": "mybucket",
    "ServerSideEncryption": "KmsManagedKeys",
    "KMSKeyId": "arn:aws:kms:ap-southeast-2:123456789012:key/9d5948f1-2082-4c07-a183-eb829b8d81c4",
    "Versioning": "Enabled",
    "IAMPrincipalsRequiringReadObjectAccess": [
      "arn:aws:iam::123456789012:user/myuser",
      "arn:aws:iam::123456789012:role/myrole"
    ],
    "IAMPrincipalsRequiringWriteObjectAccess": [
      "arn:aws:iam::123456789012:user/myuser",
      "arn:aws:iam::123456789012:role/myrole"
    ],
    "ServicesRequiringReadObjectAccess": [
      "rds.amazonaws.com",
      "ec2.amazonaws.com",
      "logs.ap-southeast-2.amazonaws.com"
    ],
    "ServicesRequiringWriteObjectAccess": [
      "rds.amazonaws.com",
      "ec2.amazonaws.com",
      "logs.ap-southeast-2.amazonaws.com"
    ],
    "EnforceSecureTransport": true,
    "AccessAllowedIpRanges": [
      "1.0.0.0/24",
      "2.0.0.0/24"
    ],
    "Tags": [
      "{\"Key\": \"foo\", \"Value\": \"bar\"}",
      "{ \"Key\": \"testkey\",\"Value\": \"testvalue\" }"
    ]
  }
}