Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Archiviazione S3 | Crea

Crea un bucket Amazon S3 per lo storage nel cloud.

Classificazione completa: Distribuzione | Componenti dello stack avanzati | Archiviazione S3 | Create

Dettagli del tipo di modifica

Informazioni aggiuntive

Crea storage S3

S3 Storage Bucket: crea esempi di policy risultanti

A seconda di come hai creato il bucket di storage Amazon S3, hai creato delle policy. Queste politiche di esempio corrispondono a vari scenari di creazione di Amazon S3 forniti in. Creazione di un bucket S3 con la CLI

Concede l'accesso READ a un utente o a un ruolo IAM

La policy di esempio risultante concede l'accesso READ agli oggetti nel bucket per un utente o un ruolo IAM:

{
          "Sid": "AllowBucketReadActionsForArns",
          "Effect": "Allow",
          "Principal": {
              "AWS": [
                  "arn:aws:iam::123456789123:role/roleA”,
                  "arn:aws:iam::987654321987:role/roleB”
              ]
          },
          "Action": [
              "s3:GetBucketAcl",
              "s3:GetBucketLocation",
              "s3:ListBucket"
          ],
          "Resource": "arn:aws:s3:::ACCOUNT-ID.BUCKET_NAME"
      },
      {
          "Sid": "AllowObjectReadActionsForArns",
          "Effect": "Allow",
          "Principal": {
              "AWS": [
                  "arn:aws:iam::123456789123:role/roleA”,
                  "arn:aws:iam::987654321987:role/roleB”
              ]
          },
          "Action": [
              "s3:GetObject",
              "s3:ListMultipartUploadParts"
          ],
          "Resource": "arn:aws:s3:::ACCOUNT-ID.amzn-s3-demo-bucket/*"
}

Per i parametri di esecuzione per creare questa policy con il bucket di archiviazione S3 Create change type, vedi Creazione di un bucket S3 con la CLI

Concede l'accesso WRITE a un utente o un ruolo IAM

La seguente policy di esempio risultante concede l'accesso WRITE agli oggetti nel bucket per un utente o un ruolo IAM. Questa politica non concede le autorizzazioni necessarie per eliminare gli oggetti con versione.

{
          "Sid": "AllowObjectWriteActionsForArns",
          "Effect": "Allow",
          "Principal": {
              "AWS": [
                  "arn:aws:iam::123456789123:role/roleA”,
                  "arn:aws:iam::987654321987:role/roleB”
              ]
          },
          "Action": [
              "s3:PutObject",
              "s3:DeleteObject",
              "s3:AbortMultipartUpload"
          ],
          "Resource": "arn:aws:s3:::ACCOUNT-ID.amzn-s3-demo-bucket/*"
}

Per i parametri di esecuzione per creare questa policy con il bucket di archiviazione S3 Create change type, vedi Creazione di un bucket S3 con la CLI

Garantisce l'accesso READ per un servizio AWS

La policy di esempio risultante concede l'accesso READ agli oggetti nel bucket per un servizio AWS:

{
          "Sid": "AllowBucketReadActionsForServcices",
          "Effect": "Allow",
          "Principal": {
              "Service": [
                  "rds.amazonaws.com",
                  "logs.ap-southeast-2.amazonaws.com",
                  "ec2.amazonaws.com"
              ]
          },
          "Action": [
              "s3:GetBucketAcl",
              "s3:GetBucketLocation",
              "s3:ListBucket"
          ],
          "Resource": "arn:aws:s3:::ACCOUNT-ID.amzn-s3-demo-bucket/*"
      },
      {
          "Sid": "AllowObjectReadActionsForServcices",
          "Effect": "Allow",
          "Principal": {
              "Service": [
                  "rds.amazonaws.com",
                  "logs.ap-southeast-2.amazonaws.com",
                  "ec2.amazonaws.com"
              ]
          },
          "Action": [
              "s3:GetObject",
              "s3:ListMultipartUploadParts"
          ],
          "Resource": "arn:aws:s3:::ACCOUNT-ID.amzn-s3-demo-bucket/*"
}

Per i parametri di esecuzione per creare questa policy con il bucket di storage S3 Create change type, vedi Creazione di un bucket S3 con la CLI

Concede l'accesso WRITE per un servizio AWS

La seguente policy di esempio risultante concede l'accesso WRITE agli oggetti nel bucket per un servizio AWS. Questa policy non concede le autorizzazioni necessarie per l'eliminazione di oggetti con versione.

{
      "Sid": "AllowObjectWriteActionsForServcices",
      "Effect": "Allow",
      "Principal": {
        "Service": [
            "rds.amazonaws.com",
            "logs.ap-southeast-2.amazonaws.com",
            "ec2.amazonaws.com"
        ]
    },
    "Action": [
          "s3:PutObject",
          "s3:DeleteObject",
          "s3:AbortMultipartUpload"
      ],
      "Resource": "arn:aws:s3:::ACCOUNT-ID.amzn-s3-demo-bucket/*"
}

Per i parametri di esecuzione per creare questa policy con il bucket di archiviazione S3 Create change type, vedi Creazione di un bucket S3 con la CLI

Usi EnforceSecureTransport

Esempio risultante di una politica che impone il trasporto sicuro:

{
          "Sid": "EnforceSecureTransport",
          "Effect": "Deny",
          "Principal": "*",
          "Action": "*",
          "Resource": "arn:aws:s3:::ACCOUNT-ID.amzn-s3-demo-bucket/*",
          "Condition": {
              "Bool": {
                  "aws:SecureTransport": "false"
              }
          }
}

Per i parametri di esecuzione per creare questa policy con il tipo Create change del bucket di archiviazione S3, vedi Creazione di un bucket S3 con la CLI

Limita l'accesso all'intervallo IP

Esempio di policy risultante che limita l'accesso al bucket da un insieme di intervalli IP:

{
          "Sid": "RestrictBasedOnIPRanges",
          "Effect": "Deny",
          "Principal": "*",
          "Action": "s3:*",
          "Resource": "arn:aws:s3:::ACCOUNT-ID.amzn-s3-demo-bucket/*",
          "Condition": {
              "NotIpAddress": {
                  "aws:SourceIp": [
                      “1.2.3.0/24",
                      “2.3.4.0/24"
                  ]
              }
          }
      }

Per i parametri di esecuzione per creare questa policy con lo storage bucket S3 Create change type, vedi Creazione di un bucket S3 con la CLI

Parametri di input di esecuzione

Per informazioni dettagliate sui parametri di input di esecuzione, vedereSchema per la modifica del tipo ct-1a68ck03fn98r.

Esempio: parametri obbligatori

{
  "DocumentName" : "AWSManagedServices-CreateBucket",
  "Region": "us-east-1",
  "Parameters": {
    "BucketName": "mybucket"
  }
}

Esempio: tutti i parametri

{
  "DocumentName" : "AWSManagedServices-CreateBucket",
  "Region": "us-east-1",
  "Parameters": {
    "BucketName": "mybucket",
    "ServerSideEncryption": "KmsManagedKeys",
    "KMSKeyId": "arn:aws:kms:ap-southeast-2:123456789012:key/9d5948f1-2082-4c07-a183-eb829b8d81c4",
    "Versioning": "Enabled",
    "IAMPrincipalsRequiringReadObjectAccess": [
      "arn:aws:iam::123456789012:user/myuser",
      "arn:aws:iam::123456789012:role/myrole"
    ],
    "IAMPrincipalsRequiringWriteObjectAccess": [
      "arn:aws:iam::123456789012:user/myuser",
      "arn:aws:iam::123456789012:role/myrole"
    ],
    "ServicesRequiringReadObjectAccess": [
      "rds.amazonaws.com",
      "ec2.amazonaws.com",
      "logs.ap-southeast-2.amazonaws.com"
    ],
    "ServicesRequiringWriteObjectAccess": [
      "rds.amazonaws.com",
      "ec2.amazonaws.com",
      "logs.ap-southeast-2.amazonaws.com"
    ],
    "EnforceSecureTransport": true,
    "AccessAllowedIpRanges": [
      "1.0.0.0/24",
      "2.0.0.0/24"
    ],
    "Tags": [
      "{\"Key\": \"foo\", \"Value\": \"bar\"}",
      "{ \"Key\": \"testkey\",\"Value\": \"testvalue\" }"
    ]
  }
}