View a markdown version of this page

Configurar um bucket do Amazon S3 para exportações de dados - Exportações de dados da AWS

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Configurar um bucket do Amazon S3 para exportações de dados

Para receber e armazenar suas exportações de dados, você deve ter um bucket Amazon S3 em sua AWS conta ou em uma conta de destino AWS designada. Ao criar uma exportação no console, se quiser exportá-la em seu próprio bucket, você pode selecionar um bucket S3 existente que você possui ou criar um novo bucket. Nos dois casos, é necessário revisar e confirmar a aplicação da política de bucket do S3 padrão a seguir. Se você quiser que sua exportação seja entregue em um bucket pertencente a outra AWS conta, você pode especificar o proprietário do bucket e o nome do bucket durante o processo de criação das exportações de dados. Editar a política do bucket ou alterar o proprietário do bucket do S3 depois de criar uma exportação pode impedir que as exportações de dados entreguem suas exportações. O armazenamento dos dados de exportação em qualquer bucket do S3 é cobrado de acordo com as taxas padrão do Amazon S3. Para obter mais informações, consulte Cotas e restrições.

A política a seguir deve ser aplicada a cada bucket do S3, seja de sua propriedade ou de uma AWS conta diferente, ao criar uma exportação de dados:

{
    "Version":"2012-10-17",
    "Statement": [
    {
      "Sid": "EnableAWSDataExportsToWriteToS3",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "bcm-data-exports.amazonaws.com"
        ]
      },
      "Action": [
        "s3:PutObject"
      ],
      "Resource": "arn:aws:s3:::{bucket-name}/*",
      "Condition": {
        "ArnLike": {
          "aws:SourceArn": "arn:aws:bcm-data-exports:us-east-1:{source-account-id}:export/*"
        },
        "StringEquals": {
          "aws:SourceAccount": "{source-account-id}"
          }
      }
    }
  ]
   }

Essa política de bucket do S3 garante que o Data Exports só possa entregar exportações ao bucket do S3 em nome da conta que criou a exportação. Também permite que as exportações de dados verifiquem se o bucket do S3 ainda pertence à conta especificada durante a criação da exportação.

  • Para entregar exportações para seu bucket do S3, é AWS necessário ter permissões de gravação para esse bucket do S3. Para fazer isso, a política de bucket do S3 concede ao serviço Data Exports (bcm-data-exports.amazonaws.com) permissão para entregar relatórios (s3:PutObject) ao bucket do S3 de sua propriedade (arn:aws:s3:::<EXAMPLE-BUCKET>/*).

  • Sempre que o Data Exports faz a solicitação para gravar no bucket do S3, ele deve fornecer o ID da conta que criou a exportação. As chaves aws:SourceArn e aws:SourceAccount aplicam essa condição.

  • Essa política de bucket do S3 não dá AWS permissões para ler ou excluir nenhum objeto em seu bucket do S3, incluindo os relatórios de custo e uso após a entrega.

Para um bucket do Amazon S3 com lista de controle de acesso (ACL) habilitada, o Data Exports aplica ainda uma ACL BucketOwnerFullControl aos relatórios ao entregá-los. Por padrão, objetos do Amazon S3, como esses relatórios, só podem ser lidos pelo usuário ou entidade principal responsável pelo serviço que os escreveu. Para conceder a você ou ao proprietário do bucket do S3 permissão para ler os relatórios, a AWS precisa aplicar a ACL BucketOwnerFullControl. A ACL concede ao proprietário do bucket do S3 Permission.FullControl para esses relatórios. No entanto, é recomendável desabilitar a ACL e usar uma política de bucket do S3 para controlar o acesso.

nota

Para buckets S3 recém-criados, ACLs estão desativados por padrão. Para obter mais informações, consulte Controle da propriedade de objetos e desativação ACLs do seu bucket.

Se for exibido um erro de Bucket inválido na página do console de Exportações de dados, verifique se a política e a propriedade do bucket do S3 não mudaram desde a configuração do relatório.