Membuat hibah data pada AWS Data Exchange berisi akses data Amazon S3

Prasyarat

• Konfirmasikan bahwa bucket Amazon S3 yang menghosting data dikonfigurasi dengan pengaturan yang dipaksakan pemilik bucket Amazon S3 mengaktifkan ACL Dinonaktifkan. Untuk informasi selengkapnya, lihat Mengontrol kepemilikan objek dan menonaktifkan ACL untuk bucket Anda di Panduan Pengguna Layanan Penyimpanan Sederhana Amazon.

• Objek bersama Anda harus berada di kelas Penyimpanan Standar Amazon S3, atau dikelola menggunakan Amazon S3 Intelligent Tiering, agar penerima dapat mengaksesnya dengan sukses. Jika mereka berada di kelas penyimpanan lain, atau jika Anda telah mengaktifkan Intelligent Tiering dengan Deep Archive, penerima Anda akan mendapatkan kesalahan karena mereka tidak akan memiliki izin untuk RestoreObject melakukannya.

• Konfirmasikan bahwa bucket Amazon S3 yang menghosting data memiliki enkripsi yang dinonaktifkan atau dienkripsi dengan kunci terkelola Amazon S3 (SSE-S3) atau kunci yang dikelola pelanggan yang disimpan di AWS Key Management Service (AWS KMS).

• Jika Anda menggunakan kunci yang dikelola pelanggan, Anda harus memiliki yang berikut:

  1. Izin IAM ke kms:CreateGrant pada kunci KMS. Anda dapat mengakses izin ini melalui kebijakan kunci, kredenSIAL IAM, atau melalui AWS KMS hibah pada kunci KMS. Untuk informasi lebih lanjut tentang manajemen kunci dan pemahaman bagaimana AWS Data Exchange menggunakan hibah AWS KMS, lihatMembuat AWS KMS hadiah.

     Untuk memberikan akses dan menambahkan izin bagi pengguna, grup, atau peran Anda:

     • Pengguna dan grup di AWS IAM Identity Center:

       Buat rangkaian izin. Ikuti instruksi di Buat rangkaian izin dalam Panduan Pengguna AWS IAM Identity Center .

     • Pengguna yang dikelola di IAM melalui penyedia identitas:

       Buat peran untuk federasi identitas. Ikuti instruksi dalam Buat peran untuk penyedia identitas pihak ketiga (federasi) dalam Panduan Pengguna IAM.

     • Pengguna IAM:

       • Buat peran yang dapat diambil pengguna Anda. Ikuti instruksi dalam Buat peran untuk pengguna IAM dalam Panduan Pengguna IAM.

       • (Tidak disarankan) Lampirkan kebijakan langsung ke pengguna atau tambahkan pengguna ke grup pengguna. Ikuti petunjuk dalam Menambahkan izin ke pengguna (konsol) dalam Panduan Pengguna IAM.

     Pengguna memerlukan akses terprogram jika mereka ingin berinteraksi dengan AWS di luar. Konsol Manajemen AWS Cara untuk memberikan akses terprogram tergantung pada jenis pengguna yang mengakses AWS.

     Untuk memberi pengguna akses programatis, pilih salah satu opsi berikut.

     Pengguna mana yang membutuhkan akses programatis?	Untuk	Oleh
     IAM	(Disarankan) Gunakan kredenSIAL konsol sebagai kredenSIAL sementara untuk menandatangani permintaan terprogram ke AWS CLI, AWS SDK, atau AWS API.	Mengikuti petunjuk untuk antarmuka yang ingin Anda gunakan. Untuk AWS CLI, lihat Login untuk pengembangan AWS lokal di Panduan AWS Command Line Interface Pengguna. Untuk AWS SDK, lihat Login untuk pengembangan AWS lokal di Panduan Refer AWS ensi SDK dan Alat.
     Identitas tenaga kerja (Pengguna yang dikelola di Pusat Identitas IAM)	Gunakan kredenSIAL sementara untuk menandatangani permintaan terprogram ke AWS CLI, AWS SDK, atau AWS API.	Mengikuti petunjuk untuk antarmuka yang ingin Anda gunakan. Untuk AWS CLI, lihat Meng onfigurasi AWS CLI untuk digunakan AWS IAM Identity Center di Panduan AWS Command Line Interface Pengguna. Untuk AWS SDK, alat, dan AWS API, lihat otentikasi Pusat Identitas IAM di Panduan Refer AWS ensi SDK dan Alat.
     IAM	Gunakan kredenSIAL sementara untuk menandatangani permintaan terprogram ke AWS CLI, AWS SDK, atau AWS API.	Mengikuti petunjuk dalam Menggunakan kredenSIAL sementara dengan AWS sumber daya di Panduan Pengguna IAM.
     IAM	(Tidak direkomendasikan) Gunakan kredentif jangka panjang untuk menandatangani permintaan terprogram ke AWS CLI, AWS SDK, atau AWS API.	Mengikuti petunjuk untuk antarmuka yang ingin Anda gunakan. Untuk itu AWS CLI, lihat Meng autentikasi menggunakan kredentif pengguna IAM di Panduan AWS Command Line Interface Pengguna. Untuk AWS SDK dan alat, lihat Meng autentikasi menggunakan kredentif jangka panjang di Panduan Refer AWS ensi SDK dan Alat. Untuk AWS API, lihat M engelola kunci akses untuk pengguna IAM di Panduan Pengguna IAM.

     Berikut ini adalah contoh kebijakan JSON yang menunjukkan bagaimana Anda dapat menambahkan kebijakan kunci kunci KMS.

     
     {
           "Sid": "AllowCreateGrantPermission",
           "Effect": "Allow",
           "Principal": {
     "AWS": "<IAM identity who will call Dataexchange API>"             
           },
           "Action": "kms:CreateGrant",
           "Resource": "*"
     }
     

     Kebijakan berikut menunjukkan contoh penambahan kebijakan untuk identitas IAM yang digunakan.

     JSON

     {
         "Version":"2012-10-17",
         "Statement": [
             {
                 "Effect": "Allow",
                 "Sid": "AllowCreateGrantPermission",
                 "Action": [
                     "kms:CreateGrant"
                 ],
                 "Resource": [
                 "arn:aws:kms:us-east-1:111122223333:key/KeyId"
                 ]
             }
         ]
     }
     

     catatan

     Kunci KMS lintas akun juga diizinkan jika kms:CreateGrant izin pada kunci KMS diperoleh melalui langkah sebelumnya. Jika akun lain memiliki kunci, Anda harus memiliki izin pada kebijakan kunci dan kredentif IAM Anda seperti yang dijelaskan dalam contoh di atas.

  2. Pastikan untuk menggunakan kunci KMS untuk mengenkripsi objek yang ada dan yang baru di bucket Amazon S3 menggunakan fitur kunci bucket Amazon S3. Untuk detail selengkapnya, lihat Meng onfigurasi Kunci Bucket S3 di Panduan Pengguna Layanan Penyimpanan Sederhana Amazon.

     • Untuk objek baru yang ditambahkan ke bucket Amazon S3 Anda, Anda dapat mengatur enkripsi kunci bucket Amazon S3 secara default. Jika objek yang ada telah dienkripsi tanpa menggunakan fitur kunci Amazon S3bucket, objek ini harus dimigrasikan untuk menggunakan kunci bucket Amazon S3 untuk enkripsi.

       Untuk mengaktifkan kunci bucket Amazon S3 untuk objek yang ada, gunakan copy operasi. Untuk informasi selengkapnya, lihat Mengonfigurasi kunci bucket Amazon S3 di tingkat objek menggunakan operasi batch.

     • AWS kunci KMS dikelola atau Kunci milik AWS tidak didukung. Anda dapat bermigrasi dari skema enkripsi yang tidak didukung ke skema yang saat ini didukung. Untuk informasi selengkapnya, lihat Mengubah enkripsi Amazon S3 Anda di Blog AWS Penyimpanan.

  3. Atur bucket Amazon S3 yang menghosting data untuk mempercayai titik akses yang AWS Data Exchange dimiliki. Anda harus memperbarui kebijakan bucket Amazon S3 ini untuk memberikan AWS Data Exchange izin untuk membuat titik akses Amazon S3 dan memberikan atau menghapus akses pelanggan atas nama Anda. Jika pernyataan kebijakan tidak ada, Anda harus mengedit kebijakan bucket untuk menambahkan lokasi Amazon S3 ke kumpulan data Anda.

     Contoh kebijakan ditunjukkan di bawah ini. Ganti <Bucket ARN> dengan nilai yang sesuai.

     JSON

     {
         "Version":"2012-10-17",
         "Statement": [
             {
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "*"
                 },
                 "Action": [
                     "s3:GetObject",
                     "s3:ListBucket"
                 ],
                 "Resource": [
                    "arn:aws:s3:::BucketName",
                    "arn:aws:s3:::/*"
                 ],
                 "Condition": {
                     "StringEquals": {
                         "s3:DataAccessPointAccount": [
                             "337040091392",
                             "504002150500",
                             "366362662752",
                             "330489627928",
                             "291973504423",
                             "461002523379",
                             "036905324694",
                             "540564263739",
                             "675969394711",
                             "108584782536",
                             "844053218156"
                         ]
                     }
                 }
             }
         ]
     }