为 AWS Data Exchange 包含 Amazon S3 数据访问权限创建数据授权

先决条件

• 确认托管数据的 Amazon S3 存储桶已配置为 “Amazon S3 存储桶所有者强制执行” 设置为 “已ACLs 禁用”。有关更多信息，请参阅 Amazon 简单存储服务用户指南中的控制对象所有权和禁用 ACLs 存储桶。

• 您的共享对象必须属于 Amazon S3 Standard 存储类别，或者使用 Amazon S3 Intelligent Tiering 进行管理，接收者才能成功访问它们。如果它们属于其他存储类别，或者您启用了 Intelligent Tiering 深度归档，则您的接收者将收到错误，因为他们没有 RestoreObject 权限。

• 确认托管数据的 Amazon S3 存储桶已禁用加密或使用 Amazon S3 托管密钥 (SSE-S3) 或存储在 AWS Key Management Service (AWS KMS) 中的客户托管密钥进行加密。

• 如果您使用的是客户托管密钥，则必须满足以下条件：

  1. 拥有对 KMS 密钥执行 kms:CreateGrant 的 IAM 权限。您可以通过密钥策略、IAM 凭证或对 KMS 密钥的 AWS KMS 授权来访问这些权限。有关密钥管理以及如何 AWS Data Exchange 使用 AWS KMS 授权的更多信息，请参阅创建 AWS KMS 补助金。

     要提供访问权限，请为您的用户、组或角色添加权限：

     • 中的用户和群组 AWS IAM Identity Center：

       创建权限集合。按照《AWS IAM Identity Center 用户指南》中创建权限集的说明进行操作。

     • 通过身份提供商在 IAM 中托管的用户：

       创建适用于身份联合验证的角色。按照《IAM 用户指南》中针对第三方身份提供商创建角色（联合身份验证）的说明进行操作。

     • IAM 用户：

       • 创建您的用户可以担任的角色。按照《IAM 用户指南》中为 IAM 用户创建角色的说明进行操作。

       • （不推荐使用）将策略直接附加到用户或将用户添加到用户组。按照《IAM 用户指南》中向用户添加权限（控制台）中的说明进行操作。

     如果用户想在 AWS 外部进行交互，则需要编程访问权限 AWS Management Console。授予编程访问权限的方式取决于正在访问的用户类型 AWS。

     要向用户授予编程式访问权限，请选择以下选项之一。

     哪个用户需要编程式访问权限？	目的	方式
     人力身份 （在 IAM Identity Center 中管理的用户）	使用临时证书签署向 AWS CLI AWS SDKs、或发出的编程请求 AWS APIs。	按照您希望使用的界面的说明进行操作。 有关的 AWS CLI，请参阅《AWS Command Line Interface 用户指南》 AWS IAM Identity Center中的 “配置 AWS CLI 要使用”。 有关工具和 AWS SDKs AWS APIs，请参阅《工具参考指南》中的 IAM 身份中心身份验证AWSSDKs 和工具参考指南。
     IAM	使用临时证书签署向 AWS CLI AWS SDKs、或发出的编程请求 AWS APIs。	按照 IAM 用户指南中的将临时证书与 AWS 资源配合使用中的说明进行操作。
     IAM	（不推荐使用） 使用长期凭证签署向 AWS CLI AWS SDKs、或发出的编程请求 AWS APIs。	按照您希望使用的界面的说明进行操作。 有关信息 AWS CLI，请参阅用户指南中的使用 IAM 用户证书进行身份验证。AWS Command Line Interface 有关 AWS SDKs 和工具，请参阅《工具参考指南》AWS SDKs 和《工具参考指南》中的使用长期凭证进行身份验证。 有关信息 AWS APIs，请参阅 IAM 用户指南中的管理 IAM 用户的访问密钥。

     以下是一个 JSON 策略示例，显示了如何在 KMS 密钥的密钥策略中添加内容。

     
     {
           "Sid": "AllowCreateGrantPermission",
           "Effect": "Allow",
           "Principal": {
     "AWS": "<IAM identity who will call Dataexchange API>"             
           },
           "Action": "kms:CreateGrant",
           "Resource": "*"
     }
     

     以下策略显示了为所使用的 IAM 身份添加的策略示例。

     
     {
         "Version": "2012-10-17",
         "Statement": [
             {
                 "Effect": "Allow",
                 "Sid": "AllowCreateGrantPermission",
                 "Action": [
                      "kms:CreateGrant
                 ],
                 "Resource": [
                   <Enter KMS Key ARNs in your account>                
                 ]
             }
         ]
     }
     

     注意

     如果通过前面的步骤获得了 KMS 密钥的 kms:CreateGrant 权限，则同样允许使用跨账户 KMS 密钥。如果其他账户拥有该密钥，则您必须拥有该密钥策略和您的 IAM 凭证的权限，如上面的示例所述。

  2. 确保使用 KMS 密钥通过 Amazon S3 存储桶密钥特征对 Amazon S3 存储桶中的现有和新对象进行加密。有关更多详细信息，请参阅《Amazon Simple Storage Service 用户指南》中的配置 S3 存储桶密钥。

     • 对于添加到您的 Amazon S3 存储桶中的新对象，您可以默认设置 Amazon S3 存储桶密钥加密。如果在未使用 Amazon S3 存储桶密钥特征的情况下对现有对象进行加密，则必须迁移这些对象，以使用 Amazon S3 存储桶密钥进行加密。

       要为现有对象启用 Amazon S3 存储桶密钥，请使用 copy 操作。有关更多信息，请参阅使用批量操作在对象级别配置 Amazon S3 存储桶密钥。

     • AWS 不支持托管 KMS 密钥或 AWS 拥有的密钥 不支持。您可以从不受支持的加密方案迁移到当前受支持的加密方案。有关更多信息，请参阅 AWS 存储博客上的更改 Amazon S3 加密。

  3. 将托管数据的 Amazon S3 存储桶设置为信任 AWS Data Exchange 拥有的接入点。您必须更新这些 Amazon S3 存储桶策略，以授予创建 Amazon S3 接入点以及代表您授予或删除订阅者访问权限的 AWS Data Exchange 权限。如果缺少策略语句，则必须编辑存储桶策略，以将 Amazon S3 位置添加到您的数据集中。

     下面显示了一个示例策略。使用相应的值替换 <Bucket ARN>。

     {
         "Version": "2012-10-17",
         "Statement": [
             {
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "*"
                 },
                 "Action": [
                     "s3:GetObject",
                     "s3:ListBucket"
                 ],
                 "Resource": [
                     "<Bucket ARN>",
                     "<Bucket ARN>/*"
                 ],
                 "Condition": {
                     "StringEquals": {
                         "s3:DataAccessPointAccount": [
                             "337040091392",
                             "504002150500",
                             "366362662752",
                             "330489627928",
                             "291973504423",
                             "461002523379",
                             "036905324694",
                             "540564263739",
                             "675969394711",
                             "108584782536",
                             "844053218156"
                         ]
                     }
                 }
             }
         ]
     }