Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Requisiti di autorizzazione per la crittografia SSE-KMS di S3 Tables

Quando utilizzi la crittografia lato server con chiavi AWS Key Management Service (AWS KMS) (SSE-KMS) per le tabelle nei bucket di tabelle S3, devi concedere le autorizzazioni per le diverse identità del tuo account. Almeno la tua identità di accesso e il responsabile della manutenzione di S3 Tables devono accedere alla tua chiave, le altre autorizzazioni richieste dipendono dal tuo caso d'uso.

Concessione delle autorizzazioni principali del servizio di manutenzione di S3 Tables per la chiave KMS

Questa autorizzazione è necessaria per creare tabelle crittografate SSE-KMS e per consentire la manutenzione automatica delle tabelle, ad esempio la compattazione, la gestione delle istantanee e la rimozione di file senza riferimenti sulle tabelle crittografate.

Per concedere l'accesso di manutenzione alle tabelle crittografate SSE-KMS, puoi utilizzare il seguente esempio di politica chiave. In questa politica, al responsabile del maintenance.s3tables.amazonaws.com servizio viene concessa l'autorizzazione a utilizzare una chiave KMS specifica per crittografare e decrittografare le tabelle in un bucket di tabelle specifico. Per utilizzare la politica, sostituiscila con le user input placeholders tue informazioni:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "EnableKeyUsage",
            "Effect": "Allow",
            "Principal": {
                "Service": "maintenance.s3tables.amazonaws.com"            
            },
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Resource": "<kms-key-arn>",
            "Condition": {
                "StringLike": {
                    "kms:EncryptionContext:aws:s3:arn":"<table-or-table-bucket-arn>/*"
                }
            }
        }
    ]
}

Concessione ai dirigenti IAM delle autorizzazioni per l'utilizzo di tabelle crittografate nei servizi di analisi integrati AWS

Per utilizzare le tabelle S3 nei servizi di AWS analisi, integra i bucket da tavolo con Amazon SageMaker Lakehouse. Questa integrazione consente ai servizi di AWS analisi di scoprire e accedere automaticamente ai dati delle tabelle. Per ulteriori informazioni sull'integrazione, consultaUtilizzo di Amazon S3 Tables con AWS servizi di analisi.

Quando lavori con tabelle crittografate SSE-KMS in questi servizi, il ruolo che utilizzi deve avere l'autorizzazione a usare la tua AWS KMS chiave per le operazioni di crittografia. Puoi applicare queste autorizzazioni al S3TablesRoleForLakeFormation ruolo creato durante l'integrazione o al tuo ruolo IAM.

Il seguente esempio di policy IAM in linea può essere utilizzato per concedere al ruolo di S3TablesRoleForLakeFormation servizio l'autorizzazione a utilizzare una chiave KMS specifica nell'account per le operazioni di crittografia. Per utilizzare la policy, sostituiscila input placeholder values con la tua.

{
  "Sid": "AllowTableRoleAccess",
  "Effect": "Allow",
  "Principal": {
	"AWS": "arn:aws:iam::111122223333:role/service-role/S3TablesRoleForLakeFormation"
  },
  "Action": [
      "kms:GenerateDataKey", 
      "kms:Decrypt"
  ],
  "Resource": "<kms-key-arn>"
}      

Concessione ai principali IAM delle autorizzazioni per lavorare direttamente con tabelle crittografate

Quando lavori con tabelle crittografate utilizzando metodi di accesso diretto o di terze parti, devi concedere al ruolo che utilizzi l'accesso alla tua chiave KMS. Gli esempi seguenti mostrano come concedere l'accesso tramite una policy IAM o una policy chiave KMS.

IAM policy

Allega questa policy in linea al tuo ruolo IAM per consentire l'accesso alla chiave KMS. Per utilizzare questa politica, sostituiscila input placeholder values con la tua chiave KMS.

{
    "Version": "2012-10-17",
    "Statement": [
        {
        "Effect": "Allow",
        "Action": [
            "kms:Decrypt",
            "kms:GenerateDataKey"
         ],
        "Resource": "<kms-key-arn>"
        }
    ]
}

KMS key policy

Allega questa politica in linea a una chiave KMS per consentire al AWS KMS ruolo specificato di utilizzare la chiave. Per utilizzare questa politica, sostituiscila input placeholder values con il tuo ruolo IAM.

{
    "Sid": "Allow use of the key",
    "Effect": "Allow",
    "Principal": {
        "AWS": [
            "arn:aws:iam::<catalog-account-id>:role/<role-name>"
        ]
    },
    "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey",
    ],
    "Resource": "*"
}

Concessione al servizio S3 Metadata delle autorizzazioni principali per l'utilizzo della chiave KMS

Per consentire ad Amazon S3 di aggiornare le tabelle di metadati crittografate SSE-KMS ed eseguire la manutenzione su tali tabelle di metadati, puoi utilizzare la seguente policy chiave di esempio. In questa politica, consenti ai responsabili del maintenance.s3tables.amazonaws.com servizio di crittografare metadata.s3.amazonaws.com e decrittografare le tabelle in un bucket di tabelle specifico utilizzando una chiave specifica. Per utilizzare la politica, sostituiscila con le user input placeholders tue informazioni:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "EnableKeyUsage",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "maintenance.s3tables.amazonaws.com",
                    "metadata.s3.amazonaws.com"
                ]           
            },
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Resource": "<kms-key-arn>",
            "Condition": {
                "StringLike": {
                    "kms:EncryptionContext:aws:s3:arn":"<table-or-table-bucket-arn>/*"
                }
            }
        }
    ]
}