Amazon-S3-Buckets

So fügen Sie Ihrer RES-Umgebung einen S3-Bucket hinzu:

1. Wählen Sie Add bucket (Bucket hinzufügen) aus.

2. Geben Sie die Bucket-Details wie Bucket-Name, ARN und Bereitstellungspunkt ein.

   Wichtig

   • Der bereitgestellte Bucket ARN, der Bereitstellungspunkt und der bereitgestellte Modus können nach der Erstellung nicht geändert werden.

   • Der Bucket-ARN kann ein Präfix enthalten, das den integrierten S3-Bucket von diesem Präfix isoliert.

3. Wählen Sie einen Modus aus, in dem Sie Ihren Bucket einbinden möchten.

   Wichtig

   • Weitere Informationen Datenisolierung zur Datenisolierung mit bestimmten Modi finden Sie unter.

4. Unter Erweiterte Optionen können Sie einen IAM-Rollen-ARN angeben, um die Buckets für den kontoübergreifenden Zugriff bereitzustellen. Folgen Sie den Schritten unterKontoübergreifender Bucket-Zugriff, um die erforderliche IAM-Rolle für den kontoübergreifenden Zugriff zu erstellen.

5. (Optional) Ordnen Sie den Bucket Projekten zu, die später geändert werden können. Ein S3-Bucket kann jedoch nicht in die vorhandenen VDI-Sitzungen eines Projekts eingebunden werden. Nur Sitzungen, die gestartet werden, nachdem das Projekt dem Bucket zugeordnet wurde, werden den Bucket mounten.

6. Wählen Sie Absenden aus.

   

1. Wählen Sie einen S3-Bucket in der S3-Buckets-Liste aus.

2. Wählen Sie im Menü Aktionen die Option Bearbeiten.

3. Geben Sie Ihre Aktualisierungen ein.

   Wichtig

   • Wenn Sie ein Projekt einem S3-Bucket zuordnen, wird der Bucket nicht in die vorhandenen VDI-Instanzen (Virtual Desktop Infrastructure) dieses Projekts eingebunden. Der Bucket wird nur für VDI-Sitzungen bereitgestellt, die in einem Projekt gestartet werden, nachdem der Bucket diesem Projekt zugeordnet wurde.

   • Das Trennen eines Projekts von einem S3-Bucket hat keine Auswirkungen auf die Daten im S3-Bucket, führt jedoch dazu, dass Desktop-Benutzer den Zugriff auf diese Daten verlieren.

4. Wählen Sie Bucket-Setup speichern.

   

1. Wählen Sie einen S3-Bucket in der S3-Buckets-Liste aus.

2. Wählen Sie im Menü Aktionen die Option Entfernen aus.

   Wichtig

   • Sie müssen zuerst alle Projektzuordnungen aus dem Bucket entfernen.

   • Der Entfernungsvorgang hat keine Auswirkungen auf die Daten im S3-Bucket. Es entfernt nur die Zuordnung des S3-Buckets zu RES.

   • Wenn Sie einen Bucket entfernen, verlieren bestehende VDI-Sitzungen nach Ablauf der Anmeldeinformationen dieser Sitzung (~1 Stunde) den Zugriff auf den Inhalt dieses Buckets.

Schritt 1: Erstellen Sie eine IAM-Rolle in dem Konto, in dem RES bereitgestellt wird (dies wird als Konto A bezeichnet):

1. Melden Sie sich bei der AWS Management Console für das RES-Konto an, das Zugriff auf den S3-Bucket benötigt (Konto A).

2. Öffnen Sie die IAM-Konsole:

   1. Navigieren Sie zum IAM-Dashboard.

   2. Klicken Sie im Navigationsbereich auf Policies (Richtlinien).

3. Erstellen Sie eine Richtlinie:

   1. Wählen Sie Richtlinie erstellen.

   2. Wählen Sie den Tab JSON.

   3. Fügen Sie die folgende JSON-Richtlinie ein (<BUCKET-NAME>ersetzen Sie sie durch den Namen des S3-Buckets in Konto B):

      JSON

      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Action": [
                      "s3:GetObject",
                      "s3:PutObject",
                      "s3:ListBucket",
                      "s3:DeleteObject",
                      "s3:AbortMultipartUpload"
                  ],
                  "Resource": [
                      "arn:aws:s3:::<BUCKET-NAME>",
                      "arn:aws:s3:::<BUCKET-NAME>/*"
                  ]
              }
          ]
      }
      

   4. Klicken Sie auf Weiter.

4. Überprüfen und erstellen Sie die Richtlinie:

   1. Geben Sie einen Namen für die Richtlinie ein (z. B. AccessPolicy „S3“).

   2. Fügen Sie eine optionale Beschreibung hinzu, um den Zweck der Richtlinie zu erläutern.

   3. Überprüfen Sie die Richtlinie und wählen Sie Richtlinie erstellen aus.

5. Öffnen Sie die IAM-Konsole:

   1. Navigieren Sie zum IAM-Dashboard.

   2. Wählen Sie im Navigationsbereich die Option Roles (Rollen) aus.

6. Eine Rolle erstellen:

   1. Wählen Sie Create rule (Regel erstellen) aus.

   2. Wählen Sie Benutzerdefinierte Vertrauensrichtlinie als Typ der vertrauenswürdigen Entität aus.

   3. Fügen Sie die folgende JSON-Richtlinie ein (<ACCOUNT_ID>ersetzen Sie sie durch die tatsächliche Konto-ID von Konto A, <ENVIRONMENT_NAME> durch den Umgebungsnamen der RES-Bereitstellung und <REGION> durch die AWS Region, in der RES bereitgestellt wird):

      JSON

      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Principal": {
                      "AWS": "arn:aws:iam::<ACCOUNT_ID>:role/<ENVIRONMENT_NAME>-custom-credential-broker-lambda-role-<REGION>"
                  },
                  "Action": "sts:AssumeRole"
              }
          ]
      }
      

   4. Wählen Sie „Weiter“.

7. Berechtigungsrichtlinien anhängen:

   1. Suchen Sie nach der Richtlinie, die Sie zuvor erstellt haben, und wählen Sie sie aus.

   2. Wählen Sie „Weiter“.

8. Markieren, überprüfen und erstellen Sie die Rolle:

   1. Geben Sie einen Rollennamen ein (z. B. AccessRole „S3“).

   2. Wählen Sie unter Schritt 3 die Option Tag hinzufügen aus und geben Sie dann den folgenden Schlüssel und Wert ein:

      • Schlüssel: res:Resource

      • Wert: s3-bucket-iam-role

   3. Überprüfen Sie die Rolle und wählen Sie Rolle erstellen aus.

9. Verwenden Sie die IAM-Rolle in RES:

   1. Kopieren Sie den von Ihnen erstellten IAM-Rollen-ARN.

   2. Melden Sie sich bei der RES-Konsole an.

   3. Wählen Sie im linken Navigationsbereich S3 Bucket aus.

   4. Wählen Sie Bucket hinzufügen und füllen Sie das Formular mit dem kontoübergreifenden S3-Bucket-ARN aus.

   5. Wählen Sie das Drop-down-Menü Erweiterte Einstellungen — optional aus.

   6. Geben Sie den Rollen-ARN in das Feld IAM-Rollen-ARN ein.

   7. Wählen Sie Bucket hinzufügen aus.

Schritt 2: Ändern Sie die Bucket-Richtlinie in Konto B

1. Melden Sie sich bei der AWS Management Console für Konto B an.

2. Öffnen Sie die S3-Konsole:

   1. Navigieren Sie zum S3-Dashboard.

   2. Wählen Sie den Bucket aus, für den Sie Zugriff gewähren möchten.

3. Bearbeiten Sie die Bucket-Richtlinie:

   1. Wählen Sie den Tab „Berechtigungen“ und dann „Bucket-Richtlinie“.

   2. Fügen Sie die folgende Richtlinie hinzu, um der IAM-Rolle von Konto A aus Zugriff auf den Bucket zu gewähren (<AccountA_ID>ersetzen Sie ihn durch die tatsächliche Konto-ID von Konto A und <BUCKET-NAME> durch den Namen des S3-Buckets):

      JSON

      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Principal": {
                      "AWS": "arn:aws:iam::111122223333:role/S3AccessRole"
                  },
                  "Action": [
                      "s3:GetObject",
                      "s3:PutObject",
                      "s3:ListBucket",
                      "s3:DeleteObject",
                      "s3:AbortMultipartUpload"
                  ],
                  "Resource": [
                      "arn:aws:s3:::<BUCKET-NAME>",
                      "arn:aws:s3:::<BUCKET-NAME>/*"
                  ]
              }
          ]
      }
      

   3. Wählen Sie Save (Speichern).

1. Öffnen Sie die Amazon VPC-Konsole:

   1. Melden Sie sich bei der AWS Management Console an.

   2. Öffnen Sie die Amazon VPC-Konsole unter https://console.aws.amazon.com/vpc/.

2. Erstellen Sie einen VPC-Endpunkt für S3:

   1. Wählen Sie im linken Navigationsbereich Endpoints aus.

   2. Wählen Sie Endpunkt erstellen aus.

   3. Stellen Sie sicher, dass bei Servicekategorie die Option AWS Services ausgewählt ist.

   4. Geben Sie im Feld Dienstname „S3“ ein com.amazonaws.<region>.s3 (<region>ersetzen Sie es durch Ihre AWS Region) oder suchen Sie danach.

   5. Wählen Sie den S3-Dienst aus der Liste aus.

3. Endpunkteinstellungen konfigurieren:

   1. Wählen Sie für VPC die VPC aus, in der Sie den Endpunkt erstellen möchten.

   2. Wählen Sie für Subnetze beide privaten Subnetze aus, die während der Bereitstellung für die VDI-Subnetze verwendet wurden.

   3. Stellen Sie sicher, dass die Option „DNS-Name aktivieren“ aktiviert ist. Dadurch kann der private DNS-Hostname in die Endpunkt-Netzwerkschnittstellen aufgelöst werden.

4. Konfigurieren Sie die Richtlinie zur Zugriffsbeschränkung:

   1. Wählen Sie unter Richtlinie die Option Benutzerdefiniert aus.

   2. Geben Sie im Richtlinieneditor eine Richtlinie ein, die den Zugriff auf Ressourcen in Ihrem Konto oder einem bestimmten Konto einschränkt. Hier ist ein Beispiel für eine Richtlinie (mybucketersetzen Sie sie durch Ihren S3-Bucket-Namen 111122223333 und 444455556666 durch das entsprechende AWS Konto IDs , auf das Sie zugreifen möchten):

      JSON

      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Principal": "*",
                  "Action": "s3:*",
                  "Resource": [
                      "arn:aws:s3:::mybucket",
                      "arn:aws:s3:::mybucket/*"
                  ],
                  "Condition": {
                      "StringEquals": {
                          "aws:PrincipalAccount": [
                              "111122223333",   // Your Account ID
                              "444455556666"    // Another Account ID
                          ]
                      }
                  }
              }
          ]
      }
      

5. Erstellen Sie den Endpunkt:

   1. Überprüfen Sie die Einstellungen.

   2. Wählen Sie Endpunkt erstellen aus.

6. Überprüfen Sie den Endpunkt:

   1. Sobald der Endpunkt erstellt wurde, navigieren Sie in der VPC-Konsole zum Abschnitt Endpoints.

   2. Wählen Sie den neu erstellten Endpunkt aus.

   3. Stellen Sie sicher, dass der Status verfügbar ist.

1. Überprüfen Sie die VDI-Protokolle:

   1. Melden Sie sich bei der AWS Management Console an.

   2. Öffnen Sie die EC2 Konsole und navigieren Sie zu Instances.

   3. Wählen Sie die VDI-Instanz aus, die Sie gestartet haben.

   4. Stellen Sie über den Session Manager eine Connect zum VDI her.

   5. Führen Sie die folgenden Befehle aus:

      sudo su
      cd ~/bootstrap/logs

      Hier finden Sie die Bootstrap-Protokolle. Die Details eines Fehlers finden Sie in der configure.log.{time} Datei.

      Weitere Informationen finden Sie außerdem im /etc/message Protokoll.

2. Überprüfen Sie die CloudWatch Lambda-Protokolle von Custom Credential Broker:

   1. Melden Sie sich bei der AWS Management Console an.

   2. Öffnen Sie die CloudWatch Konsole und navigieren Sie zu Protokollgruppen.

   3. Suchen Sie nach der Protokollgruppe/aws/lambda/<stack-name>-vdc-custom-credential-broker-lambda.

   4. Untersuchen Sie die erste verfügbare Protokollgruppe und suchen Sie nach Fehlern in den Protokollen. Diese Protokolle enthalten Details zu potenziellen Problemen bei der Bereitstellung temporärer benutzerdefinierter Anmeldeinformationen für das Mounten von S3-Buckets.

3. Überprüfen Sie die benutzerdefinierten Credential Broker CloudWatch API-Gateway-Protokolle:

   1. Melden Sie sich bei der AWS Management Console an.

   2. Öffnen Sie die CloudWatch Konsole und navigieren Sie zu Protokollgruppen.

   3. Suchen Sie nach der Protokollgruppe<stack-name>-vdc-custom-credential-broker-lambdavdccustomcredentialbrokerapigatewayaccesslogs<nonce>.

   4. Untersuchen Sie die erste verfügbare Protokollgruppe und suchen Sie nach Fehlern in den Protokollen. Diese Protokolle enthalten Details zu allen Anfragen und Antworten an das API Gateway für benutzerdefinierte Anmeldeinformationen, die für das Mounten der S3-Buckets erforderlich sind.

1. Melden Sie sich bei der AWS DynamoDB-Konsole an.

2. Wählen Sie die Tabelle aus:

   1. Wählen Sie im linken Navigationsbereich Tabellen aus.

   2. Suchen und wählen Sie<stack-name>.cluster-settings.

3. Scannen Sie die Tabelle:

   1. Wählen Sie Tabellenelemente durchsuchen aus.

   2. Stellen Sie sicher, dass Scannen ausgewählt ist.

4. Einen Filter hinzufügen:

   1. Wählen Sie Filter aus, um den Bereich für den Filtereintrag zu öffnen.

   2. Stellen Sie den Filter so ein, dass er Ihrem Schlüssel entspricht

      • Attribut: Geben Sie den Schlüssel ein.

      • Bedingung: Wählen Sie Beginnt mit.

      • Wert: Geben shared-storage.<filesystem_id>.s3_bucket.iam_role_arn Sie replace <filesystem_id> mit dem Wert des Dateisystems ein, das geändert werden muss.

5. Führen Sie den Scan aus:

   Wählen Sie Ausführen, um den Scan mit dem Filter auszuführen.

6. Überprüfen Sie den Wert:

   Wenn der Eintrag vorhanden ist, stellen Sie sicher, dass der Wert mit dem richtigen IAM-Rollen-ARN korrekt festgelegt ist.

   Wenn der Eintrag nicht existiert:

   1. Wählen Sie Element erstellen aus.

   2. Geben Sie die Artikeldetails ein:

      • Geben Sie für das identifizierende Attribut einshared-storage.<filesystem_id>.s3_bucket.iam_role_arn.

      • Fügen Sie den richtigen IAM-Rollen-ARN hinzu.

   3. Wählen Sie Speichern aus, um das Element hinzuzufügen.

7. Starten Sie die VDI-Instanzen neu:

   Starten Sie die Instance neu, um sicherzustellen VDIs , dass diejenigen, die von der falschen IAM-Rolle betroffen ARN, erneut bereitgestellt werden.