Buckets de Amazon S3

Para añadir un bucket de S3 a su entorno RES:

1. Elija Add bucket (Añadir bucket).

2. Introduzca los detalles del depósito, como el nombre del depósito, el ARN y el punto de montaje.

   importante

   • El ARN del bucket, el punto de montaje y el modo proporcionados no se pueden cambiar después de la creación.

   • El ARN del depósito puede contener un prefijo que aísle el depósito S3 incorporado de ese prefijo.

3. Seleccione un modo en el que desee incorporar el bucket.

   importante

   • Consulte Aislamiento de datos para obtener más información relacionada con el aislamiento de datos con modos específicos.

4. En Opciones avanzadas, puede proporcionar un ARN de rol de IAM para montar los cubos para el acceso entre cuentas. Sigue los pasos que se indican a continuación Acceso al bucket entre cuentas para crear el rol de IAM necesario para el acceso entre cuentas.

5. (Opcional) Asocia el bucket a los proyectos, que se pueden cambiar más adelante. Sin embargo, un bucket de S3 no se puede montar en las sesiones de VDI existentes de un proyecto. Solo las sesiones iniciadas después de que el proyecto se haya asociado al bucket se montarán en el bucket.

6. Elija Enviar.

   

1. Seleccione un depósito de S3 de la lista de depósitos de S3.

2. En el menú Acciones, selecciona Editar.

3. Introduce tus actualizaciones.

   importante

   • Al asociar un proyecto a un bucket de S3, no se montará el bucket en las instancias de infraestructura de escritorio virtual (VDI) existentes de ese proyecto. El bucket solo se montará en las sesiones de VDI lanzadas en un proyecto una vez que el bucket se haya asociado a ese proyecto.

   • La disociación de un proyecto de un bucket de S3 no afectará a los datos del bucket de S3, pero provocará que los usuarios de escritorio pierdan el acceso a esos datos.

4. Selecciona Guardar configuración del bucket.

   

1. Seleccione un depósito de S3 de la lista de depósitos de S3.

2. En el menú Acciones, selecciona Eliminar.

   importante

   • Primero debe eliminar todas las asociaciones de proyectos del depósito.

   • La operación de eliminación no afecta a los datos del depósito de S3. Solo elimina la asociación del bucket de S3 con RES.

   • Al eliminar un depósito, las sesiones de VDI existentes perderán el acceso al contenido de ese depósito cuando caduquen las credenciales de esa sesión (aproximadamente 1 hora).

Paso 1: Cree un rol de IAM en la cuenta en la que está desplegado RES (se denominará cuenta A):

1. Inicie sesión en la consola AWS de administración de la cuenta RES que necesita acceder al bucket de S3 (cuenta A).

2. Abra la consola de IAM:

   1. Navegue hasta el panel de control de IAM.

   2. En el panel de navegación, seleccione Policies (Políticas).

3. Cree una política:

   1. Seleccione Crear política.

   2. Seleccione la pestaña JSON.

   3. Pegue la siguiente política de JSON (<BUCKET-NAME>sustitúyala por el nombre del bucket de S3 ubicado en la cuenta B):

      JSON

      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Action": [
                      "s3:GetObject",
                      "s3:PutObject",
                      "s3:ListBucket",
                      "s3:DeleteObject",
                      "s3:AbortMultipartUpload"
                  ],
                  "Resource": [
                      "arn:aws:s3:::<BUCKET-NAME>",
                      "arn:aws:s3:::<BUCKET-NAME>/*"
                  ]
              }
          ]
      }
      

   4. Seleccione Siguiente.

4. Revisa y crea la política:

   1. Proporcione un nombre para la política (por ejemplo, AccessPolicy «S3»).

   2. Añada una descripción opcional para explicar el propósito de la política.

   3. Revisa la política y selecciona Crear política.

5. Abra la consola de IAM:

   1. Navegue hasta el panel de control de IAM.

   2. En el panel de navegación, seleccione Roles (Roles).

6. Cree un rol:

   1. Elija Crear rol.

   2. Elija una política de confianza personalizada como tipo de entidad de confianza.

   3. Pegue la siguiente política de JSON (<ACCOUNT_ID>sustitúyala por el ID de cuenta real de la cuenta A, <ENVIRONMENT_NAME> por el nombre del entorno de la implementación de RES y <REGION> por la AWS región en la que se implementa RES):

      JSON

      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Principal": {
                      "AWS": "arn:aws:iam::<ACCOUNT_ID>:role/<ENVIRONMENT_NAME>-custom-credential-broker-lambda-role-<REGION>"
                  },
                  "Action": "sts:AssumeRole"
              }
          ]
      }
      

   4. Seleccione «Siguiente».

7. Adjunte políticas de permisos:

   1. Busque y seleccione la política que creó anteriormente.

   2. Seleccione «Siguiente».

8. Etiquete, revise y cree el rol:

   1. Introduzca el nombre de un rol (por ejemplo, AccessRole «S3»).

   2. En el paso 3, selecciona Añadir etiqueta y, a continuación, introduce la clave y el valor siguientes:

      • Clave: res:Resource

      • Valor: s3-bucket-iam-role

   3. Revisa el rol y selecciona Crear rol.

9. Utilice el rol de IAM en RES:

   1. Copie el ARN del rol de IAM que creó.

   2. Inicie sesión en la consola RES.

   3. En el panel de navegación izquierdo, seleccione S3 Bucket.

   4. Seleccione Añadir depósito y rellene el formulario con el ARN del depósito S3 multicuenta.

   5. Selecciona el menú desplegable Configuración avanzada (opcional).

   6. Introduzca el ARN del rol en el campo ARN del rol de IAM.

   7. Seleccione Añadir depósito.

Paso 2: Modifique la política de depósitos en la cuenta B

1. Inicie sesión en la consola AWS de administración de la cuenta B.

2. Abra la consola S3:

   1. Navegue hasta el panel de control de S3.

   2. Selecciona el depósito al que quieres conceder acceso.

3. Edita la política de buckets:

   1. Elija la pestaña Permisos y seleccione la política de buckets.

   2. Añada la siguiente política para conceder a la función de IAM de la cuenta A acceso al bucket (<AccountA_ID>sustitúyala por el ID de cuenta real de la cuenta A y <BUCKET-NAME> por el nombre del bucket de S3):

      JSON

      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Principal": {
                      "AWS": "arn:aws:iam::111122223333:role/S3AccessRole"
                  },
                  "Action": [
                      "s3:GetObject",
                      "s3:PutObject",
                      "s3:ListBucket",
                      "s3:DeleteObject",
                      "s3:AbortMultipartUpload"
                  ],
                  "Resource": [
                      "arn:aws:s3:::<BUCKET-NAME>",
                      "arn:aws:s3:::<BUCKET-NAME>/*"
                  ]
              }
          ]
      }
      

   3. Seleccione Guardar.

1. Abra la consola de Amazon VPC:

   1. Inicie sesión en la consola AWS de administración.

   2. Abra la consola de Amazon VPC en. https://console.aws.amazon.com/vpc/

2. Cree un punto final de VPC para S3:

   1. En el panel de navegación izquierdo, seleccione Endpoints.

   2. Seleccione Crear punto de conexión.

   3. En Service category (Categoría de servicio), asegúrese de que se seleccionó AWS services (Servicios de AWS ).

   4. En el campo Nombre del servicio, introduzca com.amazonaws.<region>.s3 (<region>sustitúyalo por su AWS región) o busque «S3".

   5. Seleccione el servicio S3 de la lista.

3. Configure los ajustes del punto final:

   1. En el caso de la VPC, seleccione la VPC en la que desee crear el punto final.

   2. En el caso de las subredes, seleccione las dos subredes privadas utilizadas para las subredes de VDI durante la implementación.

   3. En Habilitar el nombre DNS, asegúrese de que la opción esté marcada. Esto permite que el nombre de host DNS privado se resuelva en las interfaces de red del punto final.

4. Configure la política para restringir el acceso:

   1. En Política, selecciona Personalizado.

   2. En el editor de políticas, introduce una política que restrinja el acceso a los recursos de tu cuenta o de una cuenta específica. Este es un ejemplo de política (mybucketsustitúyalo por el nombre de tu bucket de S3 111122223333 y 444455556666 por la AWS cuenta adecuada a la IDs que quieras acceder):

      JSON

      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Principal": "*",
                  "Action": "s3:*",
                  "Resource": [
                      "arn:aws:s3:::mybucket",
                      "arn:aws:s3:::mybucket/*"
                  ],
                  "Condition": {
                      "StringEquals": {
                          "aws:PrincipalAccount": [
                              "111122223333",   // Your Account ID
                              "444455556666"    // Another Account ID
                          ]
                      }
                  }
              }
          ]
      }
      

5. Crea el punto final:

   1. Revise la configuración.

   2. Seleccione Crear punto final.

6. Verifique el punto final:

   1. Una vez creado el punto final, diríjase a la sección Puntos finales de la consola de VPC.

   2. Seleccione el punto final recién creado.

   3. Compruebe que el estado esté disponible.

1. Compruebe los registros de VDI:

   1. Inicie sesión en la consola AWS de administración.

   2. Abra la EC2 consola y vaya a Instancias.

   3. Seleccione la instancia de VDI que lanzó.

   4. Conéctese a la VDI mediante el administrador de sesiones.

   5. Ejecute los siguientes comandos :

      sudo su
      cd ~/bootstrap/logs

      Aquí encontrará los registros de arranque. Los detalles de cualquier error se encontrarán en el configure.log.{time} archivo.

      Además, consulte el /etc/message registro para obtener más información.

2. Compruebe los registros CloudWatch Lambda personalizados de Credential Broker:

   1. Inicie sesión en la consola de AWS administración.

   2. Abra la CloudWatch consola y vaya a Grupos de registros.

   3. Busque el grupo de registros/aws/lambda/<stack-name>-vdc-custom-credential-broker-lambda.

   4. Examine el primer grupo de registros disponible y localice cualquier error en los registros. Estos registros contendrán detalles sobre posibles problemas y proporcionarán credenciales personalizadas temporales para el montaje de depósitos de S3.

3. Compruebe los CloudWatch registros de API Gateway personalizados de Credential Broker:

   1. Inicie sesión en la consola AWS de administración.

   2. Abra la CloudWatch consola y vaya a Grupos de registros.

   3. Busque el grupo de registros<stack-name>-vdc-custom-credential-broker-lambdavdccustomcredentialbrokerapigatewayaccesslogs<nonce>.

   4. Examine el primer grupo de registros disponible y localice cualquier error en los registros. Estos registros contendrán detalles sobre cualquier solicitud y respuesta a la API Gateway para obtener las credenciales personalizadas necesarias para montar los buckets de S3.

1. Inicie sesión en la consola de AWS DynamoDB.

2. Seleccione la tabla:

   1. En el panel de navegación izquierdo, selecciona Tablas.

   2. Busque y seleccione<stack-name>.cluster-settings.

3. Escanea la tabla:

   1. Selecciona Explorar los elementos de la tabla.

   2. Asegúrese de que esté seleccionada la opción Escanear.

4. Añadir un filtro:

   1. Seleccione Filtros para abrir la sección de entrada de filtros.

   2. Configure el filtro para que coincida con su clave

      • Atributo: introduce la clave.

      • Condición: Elegir Empieza por.

      • Valor: introduzca la shared-storage.<filesystem_id>.s3_bucket.iam_role_arn sustitución por <filesystem_id> el valor del sistema de archivos que se debe modificar.

5. Ejecute el escaneo:

   Seleccione Ejecutar para ejecutar el escaneo con el filtro.

6. Compruebe el valor:

   Si la entrada existe, asegúrese de que el valor esté configurado correctamente con el ARN del rol de IAM correcto.

   Si la entrada no existe:

   1. Selecciona Crear artículo.

   2. Introduce los detalles del artículo:

      • Para el atributo clave, introduzcashared-storage.<filesystem_id>.s3_bucket.iam_role_arn.

      • Añada el ARN del rol de IAM correcto.

   3. Seleccione Guardar para añadir el elemento.

7. Reinicie las instancias de VDI:

   Reinicie la instancia para asegurarse de VDIs que los ARN afectados por el rol de IAM incorrecto se vuelvan a montar.