Creazione di una concessione di dati su AWS Data Exchange contenente l'accesso ai dati di Amazon S3

Prerequisiti

• Verifica che i bucket Amazon S3 che ospitano i dati siano configurati con l'impostazione imposta dal proprietario del bucket Amazon S3 attivata (ACL disattivati). Per ulteriori informazioni, consulta Controllare la proprietà degli oggetti e disabilitare gli ACL per il bucket nella Amazon Simple Storage Service User Guide.

• I tuoi oggetti condivisi devono appartenere alla classe Amazon S3 Standard Storage o essere gestiti utilizzando Amazon S3 Intelligent Tiering, affinché i destinatari possano accedervi correttamente. Se si trovano in altre classi di storage o se hai abilitato Intelligent Tiering con Deep Archive, i destinatari riceveranno degli errori perché non saranno autorizzati a farlo. RestoreObject

• Verifica che i bucket Amazon S3 che ospitano i dati abbiano la crittografia disabilitata o crittografata con chiavi gestite da Amazon S3 (SSE-S3) o chiavi gestite dal cliente archiviate in (). AWS Key Management Service AWS KMS

• Se utilizzi chiavi gestite dal cliente, devi disporre di quanto segue:

  1. Autorizzazioni IAM per kms:CreateGrant le chiavi KMS. Puoi accedere a queste autorizzazioni tramite la policy chiave, le credenziali IAM o tramite una AWS KMS concessione sulla chiave KMS. Per ulteriori informazioni sulla gestione delle chiavi e sulla comprensione dell' AWS Data Exchange utilizzo delle sovvenzioni AWS KMS, consulta. Creazione in corso AWS KMS borse di studio

     Per fornire l’accesso, aggiungi autorizzazioni agli utenti, gruppi o ruoli:

     • Utenti e gruppi in: Centro identità AWS IAM

       Crea un set di autorizzazioni. Segui le istruzioni riportate nella pagina Create a permission set (Creazione di un set di autorizzazioni) nella Guida per l’utente di Centro identità AWS IAM .

     • Utenti gestiti in IAM tramite un provider di identità:

       Crea un ruolo per la federazione delle identità. Segui le istruzioni riportate nella pagina Create a role for a third-party identity provider (federation) della Guida per l’utente IAM.

     • Utenti IAM:

       • Crea un ruolo che l’utente possa assumere. Segui le istruzioni riportate nella pagina Create a role for an IAM user della Guida per l’utente IAM.

       • (Non consigliato) Collega una policy direttamente a un utente o aggiungi un utente a un gruppo di utenti. Segui le istruzioni riportate nella pagina Aggiunta di autorizzazioni a un utente (console) nella Guida per l’utente IAM.

     Gli utenti hanno bisogno di un accesso programmatico se vogliono interagire con AWS persone esterne a. Console di gestione AWS Il modo per concedere l'accesso programmatico dipende dal tipo di utente che accede. AWS

     Per fornire agli utenti l’accesso programmatico, scegli una delle seguenti opzioni.

     Quale utente necessita dell’accesso programmatico?	Per	Come
     IAM	(Consigliato) Utilizza le credenziali della console come credenziali temporanee per firmare richieste programmatiche agli AWS SDK o alle AWS CLI API. AWS	Segui le istruzioni per l’interfaccia che desideri utilizzare. Per saperne di più AWS CLI, consulta Login for AWS local development nella Guida per l'utente. AWS Command Line Interface Per AWS gli SDK, consulta Login for AWS local development nella Guida di riferimento per AWS SDK and Tools.
     Identità della forza lavoro (Utenti gestiti nel centro identità IAM)	Usa le credenziali temporanee per firmare le richieste programmatiche agli AWS SDK o alle AWS CLI API. AWS	Segui le istruzioni per l’interfaccia che desideri utilizzare. Per saperne di più AWS CLI, consulta Configurazione dell'uso Centro identità AWS IAM nella Guida AWS CLI per l'utente. AWS Command Line Interface Per AWS SDK, strumenti e AWS API, consulta l'autenticazione IAM Identity Center nella Guida di riferimento per AWS SDK e strumenti.
     IAM	Usa le credenziali temporanee per firmare le richieste programmatiche agli SDK o alle API AWS CLI. AWS AWS	Seguendo le istruzioni in Uso delle credenziali temporanee con le AWS risorse nella IAM User Guide.
     IAM	(Non consigliato) Usa le credenziali a lungo termine per firmare richieste programmatiche agli AWS CLI AWS SDK o alle API. AWS	Segui le istruzioni per l’interfaccia che desideri utilizzare. Per saperne di più AWS CLI, consulta Autenticazione tramite credenziali utente IAM nella Guida per l'utente. AWS Command Line Interface Per AWS SDK e strumenti, consulta Autenticare utilizzando credenziali a lungo termine nella Guida di riferimento per SDK e strumenti. AWS Per le AWS API, consulta Gestire le chiavi di accesso per gli utenti IAM nella IAM User Guide.

     Di seguito è riportato un esempio di policy JSON che mostra come aggiungere alla politica chiave la chiave KMS.

     
     {
           "Sid": "AllowCreateGrantPermission",
           "Effect": "Allow",
           "Principal": {
     "AWS": "<IAM identity who will call Dataexchange API>"             
           },
           "Action": "kms:CreateGrant",
           "Resource": "*"
     }
     

     La seguente policy mostra un esempio di aggiunta di policy per l'identità IAM utilizzata.

     JSON

     {
         "Version":"2012-10-17",
         "Statement": [
             {
                 "Effect": "Allow",
                 "Sid": "AllowCreateGrantPermission",
                 "Action": [
                     "kms:CreateGrant"
                 ],
                 "Resource": [
                 "arn:aws:kms:us-east-1:111122223333:key/KeyId"
                 ]
             }
         ]
     }
     

     Nota

     Le chiavi KMS tra account sono consentite anche se l'kms:CreateGrantautorizzazione sulle chiavi KMS viene ottenuta tramite il passaggio precedente. Se la chiave è di proprietà di un altro account, devi disporre delle autorizzazioni sulla policy chiave e sulle tue credenziali IAM, come descritto negli esempi precedenti.

  2. Assicurati di utilizzare le chiavi KMS per crittografare oggetti esistenti e nuovi nel bucket Amazon S3 utilizzando la funzionalità chiave del bucket Amazon S3. Per maggiori dettagli, consulta la sezione Configurazione delle chiavi del bucket S3 nella Guida per l'utente di Amazon Simple Storage Service.

     • Per i nuovi oggetti aggiunti al tuo bucket Amazon S3, puoi configurare la crittografia delle chiavi del bucket Amazon S3 per impostazione predefinita. Se gli oggetti esistenti sono stati crittografati senza utilizzare la funzionalità chiave Amazon S3bucket, questi oggetti devono essere migrati per utilizzare la chiave bucket Amazon S3 per la crittografia.

       Per abilitare la chiave bucket Amazon S3 per oggetti esistenti, utilizza l'operazione. copy Per ulteriori informazioni, consulta Configurazione di una chiave bucket Amazon S3 a livello di oggetto mediante operazioni batch.

     • AWS chiavi KMS gestite o Chiavi di proprietà di AWS non sono supportate. È possibile migrare da uno schema di crittografia non supportato a quelli attualmente supportati. Per ulteriori informazioni, consulta Modifica della crittografia di Amazon S3 nello Storage Blog. AWS

  3. Imposta i bucket Amazon S3 che ospitano i dati in modo che si fidino dei punti di accesso AWS Data Exchange di proprietà. Devi aggiornare queste politiche sui bucket Amazon S3 per concedere le AWS Data Exchange autorizzazioni per creare punti di accesso Amazon S3 e concedere o rimuovere l'accesso degli abbonati per tuo conto. Se manca la dichiarazione della policy, devi modificare la policy del bucket per aggiungere le sedi Amazon S3 al tuo set di dati.

     Di seguito è riportata una policy di esempio. Sostituisci <Bucket ARN> con il valore appropriato.

     JSON

     {
         "Version":"2012-10-17",
         "Statement": [
             {
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "*"
                 },
                 "Action": [
                     "s3:GetObject",
                     "s3:ListBucket"
                 ],
                 "Resource": [
                    "arn:aws:s3:::BucketName",
                    "arn:aws:s3:::/*"
                 ],
                 "Condition": {
                     "StringEquals": {
                         "s3:DataAccessPointAccount": [
                             "337040091392",
                             "504002150500",
                             "366362662752",
                             "330489627928",
                             "291973504423",
                             "461002523379",
                             "036905324694",
                             "540564263739",
                             "675969394711",
                             "108584782536",
                             "844053218156"
                         ]
                     }
                 }
             }
         ]
     }