Création d'une subvention de données sur AWS Data Exchange contenant l'accès aux données Amazon S3

Conditions préalables

• Vérifiez que les compartiments Amazon S3 hébergeant les données sont configurés avec le paramètre imposé par le propriétaire du compartiment Amazon S3 activé sur ACL Disabled. Pour plus d'informations, consultez la section Contrôle de la propriété des objets et désactivation des ACL pour votre compartiment dans le guide de l'utilisateur d'Amazon Simple Storage Service.

• Vos objets partagés doivent appartenir à la classe Amazon S3 Standard Storage, ou être gérés à l'aide d'Amazon S3 Intelligent Tiering, pour que les destinataires puissent y accéder correctement. S'ils appartiennent à d'autres classes de stockage, ou si vous avez activé la hiérarchisation intelligente avec Deep Archive, vos destinataires recevront des erreurs car ils n'y sont pas autorisés. RestoreObject

• Vérifiez que le chiffrement des compartiments Amazon S3 hébergeant les données est désactivé ou chiffré avec les clés gérées Amazon S3 (SSE-S3) ou les clés gérées par le client stockées dans AWS Key Management Service (AWS KMS).

• Si vous utilisez des clés gérées par le client, vous devez disposer des éléments suivants :

  1. Autorisations IAM kms:CreateGrant sur les clés KMS. Vous pouvez accéder à ces autorisations via la politique de clé, les informations d'identification IAM ou via une AWS KMS autorisation sur la clé KMS. Pour plus d'informations sur la gestion des clés et pour comprendre comment AWS Data Exchange les subventions AWS KMS sont utilisées, consultezCréation AWS KMS bourses.

     Pour activer l’accès, ajoutez des autorisations à vos utilisateurs, groupes ou rôles :

     • Utilisateurs et groupes dans AWS IAM Identity Center :

       Créez un jeu d’autorisations. Suivez les instructions de la rubrique Création d’un jeu d’autorisations du Guide de l’utilisateur AWS IAM Identity Center .

     • Utilisateurs gérés dans IAM par un fournisseur d’identité :

       Créez un rôle pour la fédération d’identité. Suivez les instructions de la rubrique Création d’un rôle pour un fournisseur d’identité tiers (fédération) dans le Guide de l’utilisateur IAM.

     • Utilisateurs IAM :

       • Créez un rôle que votre utilisateur peut assumer. Suivez les instructions de la rubrique Création d’un rôle pour un utilisateur IAM dans le Guide de l’utilisateur IAM.

       • (Non recommandé) Attachez une politique directement à un utilisateur ou ajoutez un utilisateur à un groupe d’utilisateurs. Suivez les instructions de la rubrique Ajout d’autorisations à un utilisateur (console) du Guide de l’utilisateur IAM.

     Les utilisateurs ont besoin d'un accès programmatique s'ils souhaitent interagir avec des AWS personnes extérieures au Console de gestion AWS. La manière d'accorder l'accès par programmation dépend du type d'utilisateur qui accède AWS.

     Pour accorder aux utilisateurs un accès programmatique, choisissez l’une des options suivantes.

     Quel utilisateur a besoin d’un accès programmatique ?	À	Méthode
     IAM	(Recommandé) Utilisez les informations d'identification de la console comme informations d'identification temporaires pour signer les AWS CLI demandes programmatiques adressées aux AWS SDK ou AWS aux API.	Suivez les instructions de l’interface que vous souhaitez utiliser. Pour cela AWS CLI, consultez la section Connexion pour le développement AWS local dans le Guide de AWS Command Line Interface l'utilisateur. Pour les AWS kits de développement, consultez la section Connexion pour le développement AWS local dans le Guide de référence AWS des kits de développement logiciel et des outils.
     Identité de la main-d’œuvre (Utilisateurs gérés dans IAM Identity Center)	Utilisez des informations d'identification temporaires pour signer les demandes programmatiques adressées aux AWS CLI AWS SDK ou AWS aux API.	Suivez les instructions de l’interface que vous souhaitez utiliser. Pour cela AWS CLI, reportez-vous AWS CLI à la section Configuration de l'utilisation AWS IAM Identity Center dans le Guide de AWS Command Line Interface l'utilisateur. Pour les AWS kits de développement logiciel, les outils et les AWS API, consultez la section Authentification IAM Identity Center dans le Guide de référence AWS des kits de développement logiciel et des outils.
     IAM	Utilisez des informations d'identification temporaires pour signer les demandes programmatiques adressées aux AWS CLI AWS SDK ou AWS aux API.	Suivez les instructions de la section Utilisation des informations d'identification temporaires avec AWS les ressources du Guide de l'utilisateur IAM.
     IAM	(Non recommandé) Utilisez des informations d'identification à long terme pour signer des demandes programmatiques adressées aux AWS CLI AWS SDK ou AWS aux API.	Suivez les instructions de l’interface que vous souhaitez utiliser. Pour cela AWS CLI, consultez la section Authentification à l'aide des informations d'identification utilisateur IAM dans le Guide de l'AWS Command Line Interface utilisateur. Pour les AWS kits de développement logiciel et les outils, consultez la section Authentification à l'aide d'informations d'identification à long terme dans le Guide de référence AWS des kits de développement logiciel et des outils. Pour les AWS API, consultez la section Gestion des clés d'accès pour les utilisateurs IAM dans le Guide de l'utilisateur IAM.

     Voici un exemple de politique JSON qui montre comment vous pouvez ajouter à la politique de clé de la clé KMS.

     
     {
           "Sid": "AllowCreateGrantPermission",
           "Effect": "Allow",
           "Principal": {
     "AWS": "<IAM identity who will call Dataexchange API>"             
           },
           "Action": "kms:CreateGrant",
           "Resource": "*"
     }
     

     La politique suivante présente un exemple d'ajout de stratégie pour l'identité IAM utilisée.

     JSON

     {
         "Version":"2012-10-17",
         "Statement": [
             {
                 "Effect": "Allow",
                 "Sid": "AllowCreateGrantPermission",
                 "Action": [
                     "kms:CreateGrant"
                 ],
                 "Resource": [
                 "arn:aws:kms:us-east-1:111122223333:key/KeyId"
                 ]
             }
         ]
     }
     

     Note

     Les clés KMS inter-comptes sont également autorisées si l'kms:CreateGrantautorisation relative aux clés KMS est obtenue à l'étape précédente. Si la clé appartient à un autre compte, vous devez disposer des autorisations relatives à la politique relative aux clés et à vos informations d'identification IAM, comme indiqué dans les exemples ci-dessus.

  2. Assurez-vous d'utiliser des clés KMS pour chiffrer les objets existants et nouveaux dans le compartiment Amazon S3 à l'aide de la fonctionnalité de clé de compartiment Amazon S3. Pour plus de détails, consultez la section Configuration des clés de compartiment S3 dans le guide de l'utilisateur d'Amazon Simple Storage Service.

     • Pour les nouveaux objets ajoutés à votre compartiment Amazon S3, vous pouvez configurer le chiffrement par clé du compartiment Amazon S3 par défaut. Si des objets existants ont été chiffrés sans utiliser la fonctionnalité de clé Amazon S3bucket, ces objets doivent être migrés pour utiliser la clé de compartiment Amazon S3 à des fins de chiffrement.

       Pour activer la clé de compartiment Amazon S3 pour les objets existants, utilisez cette copy opération. Pour plus d'informations, consultez Configuration d'une clé de compartiment Amazon S3 au niveau de l'objet à l'aide d'opérations par lots.

     • AWS clés KMS gérées ou Clés détenues par AWS non prises en charge. Vous pouvez migrer d'un schéma de chiffrement non pris en charge vers ceux actuellement pris en charge. Pour plus d'informations, consultez la section Modification de votre chiffrement Amazon S3 sur le blog AWS Storage.

  3. Configurez les compartiments Amazon S3 hébergeant les données de manière à ce qu'ils fassent confiance aux points d'accès AWS Data Exchange détenus. Vous devez mettre à jour ces politiques relatives aux compartiments Amazon S3 pour autoriser AWS Data Exchange la création de points d'accès Amazon S3 et accorder ou supprimer l'accès aux abonnés en votre nom. Si la déclaration de politique est manquante, vous devez modifier la politique de bucket pour ajouter les emplacements Amazon S3 à votre ensemble de données.

     Un exemple de stratégie est illustré ci-dessous. Remplacez <Bucket ARN> par la valeur appropriée.

     JSON

     {
         "Version":"2012-10-17",
         "Statement": [
             {
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "*"
                 },
                 "Action": [
                     "s3:GetObject",
                     "s3:ListBucket"
                 ],
                 "Resource": [
                    "arn:aws:s3:::BucketName",
                    "arn:aws:s3:::/*"
                 ],
                 "Condition": {
                     "StringEquals": {
                         "s3:DataAccessPointAccount": [
                             "337040091392",
                             "504002150500",
                             "366362662752",
                             "330489627928",
                             "291973504423",
                             "461002523379",
                             "036905324694",
                             "540564263739",
                             "675969394711",
                             "108584782536",
                             "844053218156"
                         ]
                     }
                 }
             }
         ]
     }