Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Stockage S3 | Créer

Créez un compartiment Amazon S3 pour le stockage dans le cloud.

Classification complète : Déploiement | Composants de pile avancés | Stockage S3 | Création

Détails du type de modification

Informations supplémentaires

Création d'un espace de stockage S3

Le compartiment de stockage S3 crée un exemple de politiques résultantes

En fonction de la façon dont vous avez créé votre compartiment de stockage Amazon S3, vous avez créé des politiques. Ces exemples de politiques correspondent aux différents scénarios de création Amazon S3 fournis dansCréation d'un compartiment S3 avec la CLI.

Accorde l'accès READ à un utilisateur ou à un rôle IAM

L'exemple de politique qui en résulte accorde un accès READ aux objets du compartiment pour un utilisateur ou un rôle IAM :

{
          "Sid": "AllowBucketReadActionsForArns",
          "Effect": "Allow",
          "Principal": {
              "AWS": [
                  "arn:aws:iam::123456789123:role/roleA”,
                  "arn:aws:iam::987654321987:role/roleB”
              ]
          },
          "Action": [
              "s3:GetBucketAcl",
              "s3:GetBucketLocation",
              "s3:ListBucket"
          ],
          "Resource": "arn:aws:s3:::ACCOUNT-ID.BUCKET_NAME"
      },
      {
          "Sid": "AllowObjectReadActionsForArns",
          "Effect": "Allow",
          "Principal": {
              "AWS": [
                  "arn:aws:iam::123456789123:role/roleA”,
                  "arn:aws:iam::987654321987:role/roleB”
              ]
          },
          "Action": [
              "s3:GetObject",
              "s3:ListMultipartUploadParts"
          ],
          "Resource": "arn:aws:s3:::ACCOUNT-ID.amzn-s3-demo-bucket/*"
}

Pour les paramètres d'exécution permettant de créer cette politique avec le type de création de modification du compartiment de stockage S3, voir Création d'un compartiment S3 avec la CLI

Accorde l'accès WRITE à un utilisateur ou à un rôle IAM

L'exemple de politique qui en résulte accorde un accès WRITE aux objets du compartiment pour un utilisateur ou un rôle IAM. Cette politique n'accorde pas les autorisations nécessaires pour supprimer des objets versionnés.

{
          "Sid": "AllowObjectWriteActionsForArns",
          "Effect": "Allow",
          "Principal": {
              "AWS": [
                  "arn:aws:iam::123456789123:role/roleA”,
                  "arn:aws:iam::987654321987:role/roleB”
              ]
          },
          "Action": [
              "s3:PutObject",
              "s3:DeleteObject",
              "s3:AbortMultipartUpload"
          ],
          "Resource": "arn:aws:s3:::ACCOUNT-ID.amzn-s3-demo-bucket/*"
}

Pour les paramètres d'exécution permettant de créer cette politique avec le type de création de modification du compartiment de stockage S3, voir Création d'un compartiment S3 avec la CLI

Accorde l'accès READ à un service AWS

L'exemple de politique qui en résulte accorde un accès READ aux objets du compartiment pour un service AWS :

{
          "Sid": "AllowBucketReadActionsForServcices",
          "Effect": "Allow",
          "Principal": {
              "Service": [
                  "rds.amazonaws.com",
                  "logs.ap-southeast-2.amazonaws.com",
                  "ec2.amazonaws.com"
              ]
          },
          "Action": [
              "s3:GetBucketAcl",
              "s3:GetBucketLocation",
              "s3:ListBucket"
          ],
          "Resource": "arn:aws:s3:::ACCOUNT-ID.amzn-s3-demo-bucket/*"
      },
      {
          "Sid": "AllowObjectReadActionsForServcices",
          "Effect": "Allow",
          "Principal": {
              "Service": [
                  "rds.amazonaws.com",
                  "logs.ap-southeast-2.amazonaws.com",
                  "ec2.amazonaws.com"
              ]
          },
          "Action": [
              "s3:GetObject",
              "s3:ListMultipartUploadParts"
          ],
          "Resource": "arn:aws:s3:::ACCOUNT-ID.amzn-s3-demo-bucket/*"
}

Pour les paramètres d'exécution permettant de créer cette politique avec le type de création de modification du compartiment de stockage S3, voir Création d'un compartiment S3 avec la CLI

Accorde l'accès WRITE à un service AWS

L'exemple de politique qui en résulte accorde l'accès WRITE aux objets du compartiment pour un service AWS. Cette politique n'accorde pas les autorisations nécessaires pour supprimer des objets versionnés.

{
      "Sid": "AllowObjectWriteActionsForServcices",
      "Effect": "Allow",
      "Principal": {
        "Service": [
            "rds.amazonaws.com",
            "logs.ap-southeast-2.amazonaws.com",
            "ec2.amazonaws.com"
        ]
    },
    "Action": [
          "s3:PutObject",
          "s3:DeleteObject",
          "s3:AbortMultipartUpload"
      ],
      "Resource": "arn:aws:s3:::ACCOUNT-ID.amzn-s3-demo-bucket/*"
}

Pour les paramètres d'exécution permettant de créer cette politique avec le type de création de modification du compartiment de stockage S3, voir Création d'un compartiment S3 avec la CLI

Utilisations EnforceSecureTransport

Exemple de politique garantissant le transport sécurisé qui en résulte :

{
          "Sid": "EnforceSecureTransport",
          "Effect": "Deny",
          "Principal": "*",
          "Action": "*",
          "Resource": "arn:aws:s3:::ACCOUNT-ID.amzn-s3-demo-bucket/*",
          "Condition": {
              "Bool": {
                  "aws:SecureTransport": "false"
              }
          }
}

Pour les paramètres d'exécution permettant de créer cette politique avec le type de création de modification du compartiment de stockage S3, voir Création d'un compartiment S3 avec la CLI

Limite l'accès à la plage d'adresses IP

Exemple de politique limitant l'accès au bucket à partir d'un ensemble de plages d'adresses IP :

{
          "Sid": "RestrictBasedOnIPRanges",
          "Effect": "Deny",
          "Principal": "*",
          "Action": "s3:*",
          "Resource": "arn:aws:s3:::ACCOUNT-ID.amzn-s3-demo-bucket/*",
          "Condition": {
              "NotIpAddress": {
                  "aws:SourceIp": [
                      “1.2.3.0/24",
                      “2.3.4.0/24"
                  ]
              }
          }
      }

Pour les paramètres d'exécution permettant de créer cette politique avec le type de création de modification du compartiment de stockage S3, voir Création d'un compartiment S3 avec la CLI

Paramètres d'entrée d'exécution

Pour des informations détaillées sur les paramètres d'entrée d'exécution, consultezSchéma pour le type de modification ct-1a68ck03fn98r.

Exemple : paramètres obligatoires

{
  "DocumentName" : "AWSManagedServices-CreateBucket",
  "Region": "us-east-1",
  "Parameters": {
    "BucketName": "mybucket"
  }
}

Exemple : tous les paramètres

{
  "DocumentName" : "AWSManagedServices-CreateBucket",
  "Region": "us-east-1",
  "Parameters": {
    "BucketName": "mybucket",
    "ServerSideEncryption": "KmsManagedKeys",
    "KMSKeyId": "arn:aws:kms:ap-southeast-2:123456789012:key/9d5948f1-2082-4c07-a183-eb829b8d81c4",
    "Versioning": "Enabled",
    "IAMPrincipalsRequiringReadObjectAccess": [
      "arn:aws:iam::123456789012:user/myuser",
      "arn:aws:iam::123456789012:role/myrole"
    ],
    "IAMPrincipalsRequiringWriteObjectAccess": [
      "arn:aws:iam::123456789012:user/myuser",
      "arn:aws:iam::123456789012:role/myrole"
    ],
    "ServicesRequiringReadObjectAccess": [
      "rds.amazonaws.com",
      "ec2.amazonaws.com",
      "logs.ap-southeast-2.amazonaws.com"
    ],
    "ServicesRequiringWriteObjectAccess": [
      "rds.amazonaws.com",
      "ec2.amazonaws.com",
      "logs.ap-southeast-2.amazonaws.com"
    ],
    "EnforceSecureTransport": true,
    "AccessAllowedIpRanges": [
      "1.0.0.0/24",
      "2.0.0.0/24"
    ],
    "Tags": [
      "{\"Key\": \"foo\", \"Value\": \"bar\"}",
      "{ \"Key\": \"testkey\",\"Value\": \"testvalue\" }"
    ]
  }
}