Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Configuration de l’accès aux compartiments Amazon S3
De nombreuses fonctionnalités Amazon Bedrock nécessitent un accès aux données stockées dans les compartiments Amazon S3. Pour accéder à ces données, vous devez configurer les autorisations suivantes :
| Cas d’utilisation | Permissions |
|---|---|
| Autorisations d’extraction des données du compartiment S3 | s3 : GetObject s3 : ListBucket |
| Autorisations d’écriture des données dans le compartiment S3 | s3 : PutObject |
| Autorisations de déchiffrer la clé KMS qui a chiffré le compartiment S3 | kms:Decrypt km : DescribeKey |
Les identités ou ressources auxquelles vous devez associer les autorisations ci-dessus dépendent des facteurs suivants :
-
Plusieurs fonctionnalités d’Amazon Bedrock utilisent des rôles de service. Si une fonctionnalité utilise un rôle de service, vous devez configurer les autorisations de telle sorte que le rôle de service, plutôt que l’identité IAM de l’utilisateur, ait accès aux données S3. Certaines fonctionnalités d’Amazon Bedrock peuvent automatiquement créer un rôle de service pour vous et associer les autorisations requises basées sur l’identité au rôle de service, si vous utilisez la AWS Management Console.
-
Certaines fonctionnalités d’Amazon Bedrock permettent à une identité d’accéder à un compartiment S3 dans un autre compte. Si les données S3 doivent être accessibles depuis un autre compte, le propriétaire du compartiment doit inclure les autorisations basées sur les ressources ci-dessus dans une stratégie de compartiment S3 associée au compartiment S3.
Voici comment déterminer à quel endroit vous devez attribuer les autorisations nécessaires pour accéder aux données S3 :
-
Autorisations pour les identités IAM
-
Si vous pouvez créer automatiquement un rôle de service dans la console, les autorisations seront configurées pour le rôle de service, vous n’avez donc pas besoin de le configurer vous-même.
-
Si vous préférez utiliser un rôle de service personnalisé ou si l’identité nécessitant un accès n’est pas un rôle de service, naviguez jusqu’à Association des autorisations à une identité IAM pour lui permettre d’accéder à un compartiment Amazon S3 pour savoir comment créer une stratégie basée sur l’identité avec les autorisations appropriées.
-
-
Autorisations basées sur les ressources
-
Si l’identité nécessite l’accès aux données S3 du même compte, il n’est pas nécessaire d’associer une stratégie de compartiment S3 au compartiment contenant les données.
-
Si l’identité nécessite l’accès aux données S3 dans un autre compte, accédez à Association d’une stratégie de compartiment à un compartiment Amazon S3 pour autoriser l’accès d’un autre compte pour savoir comment créer une stratégie de compartiment S3 avec les autorisations appropriées.
Important
La création automatique d'un rôle de service dans le AWS Management Console attache les autorisations appropriées basées sur l'identité au rôle, mais vous devez tout de même configurer la politique du compartiment S3 si l'identité nécessitant l'accès à celui-ci se trouve dans une autre. Compte AWS
-
Pour plus d'informations, consultez les liens suivants :
-
Pour en savoir plus sur le contrôle de l’accès aux données dans Amazon S3, consultez Contrôle d’accès dans Amazon S3.
-
Pour plus d’informations sur les autorisations Amazon S3, consultez Actions définies par Amazon S3.
-
Pour en savoir plus sur AWS KMS les autorisations, consultez la section Actions définies par AWS Key Management Service.
Passez en revue les rubriques relatives à votre cas d’utilisation :
Rubriques
Association des autorisations à une identité IAM pour lui permettre d’accéder à un compartiment Amazon S3
Cette rubrique fournit un modèle de politique pour l’association à une identité IAM. La stratégie inclut les instructions suivantes définissant les autorisations permettant d’accorder à une identité IAM l’accès à un compartiment S3 :
-
Données à extraire d’un compartiment S3. Cette instruction inclut également une condition utilisant la clé de condition
s3:prefixpour restreindre l’accès à un dossier spécifique du compartiment. Pour plus d’informations sur cette condition, consultez Stratégie utilisateur dans Exemple 2 : obtenir une liste d’objets dans un compartiment avec un préfixe spécifique. -
(Si vous devez écrire des données dans un emplacement S3) Autorisations permettant d’écrire des données dans un compartiment S3. Cette déclaration inclut également une condition utilisant la clé de
aws:ResourceAccountcondition pour restreindre l'accès aux demandes envoyées par un utilisateur spécifiqueCompte AWS. -
(Si le compartiment S3 est chiffré avec une clé KMS) Autorisations permettant de décrire et de déchiffrer la clé KMS qui a chiffré le compartiment S3.
Note
Si votre compartiment S3 prend en charge la gestion des versions, chaque version d’objet que vous chargez à l’aide de cette fonctionnalité peut avoir sa propre clé de chiffrement. Vous devez assurer le suivi pour savoir quelle clé de chiffrement a été utilisée pour quelle version d’objet.
Ajoutez, modifiez et supprimez les instructions, les ressources et les conditions dans la politique suivante et remplacez-les ${values} si nécessaire :
Après avoir modifié la stratégie en fonction de votre cas d’utilisation, associez-la au rôle de service (ou identité IAM) qui nécessite l’accès au compartiment S3. Pour découvrir comment associer des autorisations à une identité IAM, consultez Ajout et suppression d’autorisations basées sur l’identité IAM.
Association d’une stratégie de compartiment à un compartiment Amazon S3 pour autoriser l’accès d’un autre compte
Cette rubrique fournit un modèle de stratégie basée sur les ressources à associer à un compartiment S3 afin de permettre à une identité IAM d’accéder aux données du compartiment. La stratégie inclut les instructions suivantes définissant les autorisations d’accès au compartiment pour une identité :
-
Données à extraire d’un compartiment S3.
-
(Si vous devez écrire des données dans un emplacement S3) Autorisations permettant d’écrire des données dans un compartiment S3.
-
(Si le compartiment S3 est chiffré avec une clé KMS) Autorisations permettant de décrire et de déchiffrer la clé KMS qui a chiffré le compartiment S3.
Note
Si votre compartiment S3 prend en charge la gestion des versions, chaque version d’objet que vous chargez à l’aide de cette fonctionnalité peut avoir sa propre clé de chiffrement. Vous devez assurer le suivi pour savoir quelle clé de chiffrement a été utilisée pour quelle version d’objet.
Les autorisations sont similaires aux autorisations basées sur l’identité décrites dans Association des autorisations à une identité IAM pour lui permettre d’accéder à un compartiment Amazon S3. Toutefois, chaque instruction vous oblige également à spécifier l’identité pour laquelle vous souhaitez accorder des autorisations à la ressource du champ Principal. Spécifiez l’identité (pour la plupart des fonctionnalités d’Amazon Bedrock, il s’agit du rôle de service) dans le champ Principal. Ajoutez, modifiez et supprimez les instructions, les ressources et les conditions dans la politique suivante et remplacez-les ${values} si nécessaire :
Après avoir modifié la politique en fonction de votre cas d’utilisation, associez-la au compartiment S3. Pour découvrir comment associer une stratégie à un compartiment S3, consultez Ajout d’une stratégie de compartiment à l’aide de la console Amazon S3.
(Option de sécurité avancée) Incluez des conditions dans une instruction pour un accès plus précis
Pour mieux contrôler les identités qui peuvent accéder à vos ressources, vous pouvez inclure des conditions dans une déclaration de stratégie. La stratégie décrite dans cette rubrique fournit un exemple qui utilise les clés de condition suivantes :
-
s3:prefix: clé de condition S3 qui restreint l’accès à un dossier spécifique dans un compartiment S3. Pour plus d’informations sur cette clé de condition, consultez Politique utilisateur dans Exemple 2 : Obtention d’une liste d’objets dans un compartiment avec un préfixe spécifique. -
aws:ResourceAccount— Une clé de condition globale qui restreint l'accès aux demandes provenant d'un utilisateur spécifiqueCompte AWS.
La politique suivante restreint l'accès en lecture au my-folder dossier du compartiment amzn-s3-demo-bucket S3 et restreint l'accès en écriture pour le compartiment amzn-s3-demo-destination-bucket S3 aux demandes émanant du titulaire de Compte AWS l'ID : 111122223333
Pour plus d’informations sur les conditions et les clés de condition, consultez les liens suivants :
-
Pour plus d’informations sur les conditions, consultez Conditions pour éléments de stratégie JSON IAM dans le Guide de l’utilisateur IAM.
-
Pour plus d’informations sur les clés de condition spécifiques à S3, consultez see Clés de condition pour Amazon S3 dans la référence des autorisations de service.
-
Pour en savoir plus sur les clés de condition globales utilisées dans tous les domainesServices AWS, consultez la section Clés contextuelles de condition AWS globales.
