Configuration des autorisations IAM pour l'intégration de RDS for Oracle à Amazon S3

Ouvrez IAM Management Console.

Sous Access Management (Gestion des accès), choisissez Policies (Stratégies).

Choisissez Create Policy (Créer une politique).

Sous l'onglet Visual editor (Éditeur visuel), choisissez Choose a service (Choisir un service), puis S3.

Pour Actions, choisissez Expand all (Développer tout), puis choisissez les autorisations de compartiment et d'objet nécessaires pour transférer des fichiers d'un compartiment Amazon S3 vers Amazon RDS. Par exemple, procédez comme suit :

Les autorisations d'objet sont des autorisations pour les opérations sur les objets dans Amazon S3. Vous devez les accorder pour des objets d'un compartiment et non pour le compartiment lui-même. Pour plus d'informations, consultez Permissions for object operations.

Choisissez Ressources et procédez comme suit :

1. Choisissez Spécifique.

2. Pour Compartiment, choisissez Ajouter un ARN. Saisissez l'ARN de votre compartiment. Le nom du compartiment est renseigné automatiquement. Choisissez ensuite Ajouter.

3. Si la ressource de l'objet est affichée, choisissez Ajouter un ARN pour ajouter des ressources manuellement ou choisissez Tous.

   Note

   Vous pouvez affecter à Amazon Resource Name (ARN) une valeur d'ARN plus spécifique afin d'autoriser Amazon RDS à accéder uniquement à des fichiers ou des dossiers spécifiques dans un compartiment Amazon S3. Pour plus d'informations sur la définition d'une stratégie d'accès pour Amazon S3, consultez Gestion des autorisations d'accès de vos ressources Amazon S3.

(Facultatif) Choisissez Add additional permissions (Ajouter des autorisations supplémentaires) pour ajouter des ressources à la stratégie. Par exemple, procédez comme suit :

1. Si votre compartiment est chiffré avec une clé KMS personnalisée, sélectionnez KMS pour le service.

2. Pour Actions manuelles, sélectionnez ce qui suit :

   • Encrypt

   • ReEncrypt de et ReEncrypt vers

   • Decrypt

   • DescribeKey

   • GenerateDataKey

3. Pour Resources (Ressources), choisissez Specific (Spécifique).

4. Pour Clé, choisissez Ajouter un ARN. Saisissez l'ARN de votre clé personnalisée en tant que ressource, puis choisissez Ajouter.

   Pour plus d'informations, consultez la section Protection des données à l'aide du chiffrement côté serveur avec des clés KMS stockées dans AWS Key Management Service (SSE-KMS) dans le guide de l'utilisateur d'Amazon Simple Storage Service.

5. Si vous souhaitez qu'Amazon RDS accède à d'autres compartiments, ajoutez le ARNs pour ces compartiments. Si vous le souhaitez, vous pouvez également accorder l'accès à tous les compartiments et à tous les objets dans Amazon S3.

Choisissez Suivant : Balises, puis Suivant : Vérification.

Dans Name (Name), attribuez un nom à votre stratégie IAM, par exemple rds-s3-integration-policy. Vous utilisez ce nom lorsque vous créez un rôle IAM à associer à votre instance de base de données. Vous pouvez également ajouter une valeur Description facultative.

Choisissez Create Policy (Créer une politique).

Connectez-vous à la console Amazon S3 AWS Management Console et ouvrez-la à l'adresse https://console.aws.amazon.com/s3/.

Dans la liste Buckets (Compartiments), choisissez le nom du compartiment pour lequel vous souhaitez créer une stratégie de compartiment ou modifier la stratégie de compartiment existante.

Choisissez Permissions.

Sous Politique de compartiment, choisissez Modifier. La page Modifier la stratégie de compartiment s'ouvre.

Dans la page Edit bucket policy (Modifier la politique de compartiment), explorez Policy examples (Exemples de politiques) dans le Guide de l'utilisateur Simple Storage Service (Amazon S3), choisissez Policy generator (Générateur de politiques) pour générer automatiquement une politique, ou modifiez le JSON dans la section Policy (Politique).

Si vous choisissez le générateur de AWS politiques, celui-ci s'ouvre dans une nouvelle fenêtre :

1. Sur la page AWS Policy Generator (Générateur de politiques), dans Select Type of Policy (Sélectionner le type de politique), sélectionnez S3 Bucket Policy (Politique de compartiment S3).

2. Ajoutez une instruction en saisissant les informations dans les champs fournis, puis choisissez Add Statement (Ajouter une instruction). Répétez l'opération pour autant d'instructions que vous souhaitez ajouter. Pour plus d'informations sur ces champs, consultez la Référence des éléments de stratégie IAM JSON dans le Guide de l'utilisateur IAM.

   Note

   Pour plus de commodité, la page Edit Bucket Policy (Modifier la stratégie de compartiment) affiche l'ARN (Amazon Resource Name) de compartiment du compartiment actuel au-dessus du champ de texte Policy (Stratégie). Vous pouvez copier cet ARN pour l'utiliser dans les instructions de la page AWS Policy Generator (Générateur de politique).

3. Une fois que vous avez fini d’ajouter des instructions, choisissez Generate Policy (Générer une stratégie).

4. Copiez le texte de stratégie généré, choisissez Fermer et revenez à la page Modifier la stratégie de compartiment dans la console Amazon S3.

Dans la boîte Policy (Stratégie), modifiez la stratégie existante ou collez la stratégie de compartiment à partir du générateur de stratégies. Veillez à résoudre les avertissements de sécurité, les erreurs, les avertissements généraux et les suggestions avant d’enregistrer votre stratégie.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Example permissions",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::account-A-ID:account-A-user"
      },
      "Action": [
        "s3:PutObject",
        "s3:PutObjectAcl"
      ],
      "Resource": [
        "arn:aws:s3:::amzn-s3-demo-destination-bucket",
        "arn:aws:s3:::amzn-s3-demo-destination-bucket/*"
      ]
    }
  ]
}

Choisissez Save Changes (Enregistrez les modifications), qui vous renvoie à la page Autorisations du compartiment.

Ouvrez IAM Management Console.

Dans le panneau de navigation, choisissez Roles (Rôles).

Sélectionnez Create role (Créer un rôle).

Choisissez Service AWS .

Pour les cas d'utilisation d'autres AWS services : choisissez RDS, puis RDS — Ajouter un rôle à la base de données. Ensuite, sélectionnez Suivant.

Pour Rechercher sous Politiques d'autorisations, saisissez le nom de la politique IAM que vous avez créée dans Étape 1 : Créer une politique IAM pour votre rôle Amazon RDS et choisissez la politique lorsqu'elle apparaît dans la liste. Ensuite, sélectionnez Suivant.

Pour Nom du rôle, indiquez le nom de votre rôle IAM, par exemple rds-s3-integration-role. Vous pouvez également ajouter une valeur Description facultative.

Choisissez Créer un rôle.

Créez un rôle IAM qu'Amazon RDS peut endosser en votre nom pour accéder à vos compartiments Amazon S3.

Nous vous recommandons d'utiliser les clés de contexte de condition globale aws:SourceArn et aws:SourceAccount dans des relations d'approbation basées sur les ressources pour limiter les autorisations du service à une ressource spécifique. C'est le moyen le plus efficace de se protéger contre le problème du député confus.

Vous pouvez utiliser les deux clés de contexte de condition globale et faire en sorte que la valeur aws:SourceArn contienne l'ID de compte. Dans ce cas, la valeur aws:SourceAccount et le compte dans la valeur aws:SourceArn doivent utiliser le même ID de compte lorsqu'ils sont utilisés dans la même instruction.

Dans la relation d'approbation, assurez-vous d'utiliser la clé de contexte de condition globale aws:SourceArn avec l'Amazon Resource Name (ARN) complet des ressources qui accèdent au rôle.

La AWS CLI commande suivante crée le rôle nommé rds-s3-integration-role à cet effet.

aws iam create-role \
   --role-name rds-s3-integration-role \
   --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
            "Service": "rds.amazonaws.com"
          },
         "Action": "sts:AssumeRole",
         "Condition": {
             "StringEquals": {
                 "aws:SourceAccount": "my_account_ID",
                 "aws:SourceArn": "arn:aws:rds:Region:my_account_ID:db:dbname"
             }
         }
       }
     ]
   }'

aws iam create-role ^
   --role-name rds-s3-integration-role ^
   --assume-role-policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
            "Service": "rds.amazonaws.com"
          },
         "Action": "sts:AssumeRole",
         "Condition": {
             "StringEquals": {
                 "aws:SourceAccount": "my_account_ID",
                 "aws:SourceArn": "arn:aws:rds:Region:my_account_ID:db:dbname"
             }
         }
       }
     ]
   }'

Pour de plus amples informations, veuillez consulter Création d'un rôle pour déléguer des autorisations à un utilisateur IAM dans le Guide de l'utilisateur IAM.

Une fois le rôle créé, notez son ARN. Vous en aurez besoin lors d'une étape ultérieure.

Attachez la politique que vous avez créée au rôle que vous avez créé.

La AWS CLI commande suivante associe la politique au rôle nommérds-s3-integration-role.

aws iam attach-role-policy \
   --policy-arn your-policy-arn \
   --role-name rds-s3-integration-role

aws iam attach-role-policy ^
   --policy-arn your-policy-arn ^
   --role-name rds-s3-integration-role

Remplacez your-policy-arn par l'ARN de stratégie que vous avez noté lors d'une étape précédente.

Connectez-vous à la console Amazon RDS AWS Management Console et ouvrez-la à https://console.aws.amazon.com/rds/l'adresse.

Choisissez Databases (Bases de données) dans le volet de navigation.

Choisissez le nom de l'instance de base de données RDS for Oracle pour afficher ses détails.

Dans l'onglet Connectivity & security (Connectivité & sécurité), faites défiler l'écran jusqu'à l'onglet Manage IAM roles (Gérer les rôles IAM) au bas de la page.

Pour Ajouter des rôles IAM à cette instance, choisissez le rôle que vous avez créé dansÉtape 3 : Créer un rôle IAM pour votre instance de base de données et y attacher votre politique.

Pour Fonction, choisissez S3_INTEGRATION.

Choisissez Add role (Ajouter un rôle).