Voraussetzungen für die Deaktivierung ACLs

Um die ACL Berechtigungen eines Buckets zu überprüfen

1. Melden Sie sich bei der an AWS Management Console und öffnen Sie die Amazon S3 S3-Konsole unter https://console.aws.amazon.com/s3/.

2. Wählen Sie in der Liste Buckets den Namen des Buckets aus.

3. Wählen Sie die Registerkarte Berechtigungen.

4. Überprüfen Sie unter Zugriffskontrollliste (ACL) Ihre ACL Bucket-Berechtigungen.

Um die ACL Berechtigungen eines Objekts zu überprüfen

1. Melden Sie sich bei der an AWS Management Console und öffnen Sie die Amazon S3 S3-Konsole unter https://console.aws.amazon.com/s3/.

2. Wählen Sie in der Liste Buckets den Namen des Buckets aus, der Ihr Objekt enthält.

3. Wählen Sie in der Liste Objekts (Objekte) den Objektnamen aus.

4. Wählen Sie die Registerkarte Berechtigungen.

5. Überprüfen Sie unter Zugriffskontrollliste (ACL) Ihre ACL Objektberechtigungen.

Um ACL Berechtigungen zu migrieren und Ihren Bucket zu aktualisieren ACL

1. Melden Sie sich bei der an AWS Management Console und öffnen Sie die Amazon S3 S3-Konsole unter https://console.aws.amazon.com/s3/.

2. Wählen Sie in der Liste Buckets den Namen des Buckets aus.

3. Wählen Sie auf der Registerkarte Berechtigungen unter Bucket-Richtlinie die Option Bearbeiten aus.

4. Fügen Sie im Feld Richtlinie Ihre Bucket-Richtlinie hinzu oder aktualisieren Sie sie.

   Beispiele für Bucket-Richtlinien finden Sie unter Beispiele für Bucket-Richtlinie und Beispielhafte Walkthroughs.

5. Wählen Sie Änderungen speichern.

6. Aktualisieren Sie Ihren Bucket ACL, um ACL Zuschüsse für andere Gruppen zu entfernen oder AWS-Konten.

7. Wenden Sie die Einstellung Bucket-Eigentümer erzwungen für die Objekteigentümerschaft an.

1. Um den Bucket ACL für Ihren Bucket zurückzugeben, verwenden Sie den get-bucket-acl AWS CLI Befehl:

   aws s3api get-bucket-acl --bucket amzn-s3-demo-bucket

   Dieser Bucket ACL gewährt WRITE beispielsweise READ Zugriff auf ein Drittanbieter-Konto. Dabei wird ACL das Drittanbieter-Konto anhand der kanonischen Benutzer-ID identifiziert. Um die Einstellung „Bucket-Besitzer erzwungen“ anzuwenden und zu deaktivierenACLs, müssen Sie diese Berechtigungen für das Drittanbieter-Konto auf eine Bucket-Richtlinie migrieren.

   {
       "Owner": {
           "DisplayName": "DOC-EXAMPLE-ACCOUNT-OWNER",
           "ID": "852b113e7a2f25102679df27bb0ae12b3f85be6BucketOwnerCanonicalUserID"
       },
       "Grants": [
           {
               "Grantee": {
                   "DisplayName": "DOC-EXAMPLE-ACCOUNT-OWNER",
                   "ID": "852b113e7a2f25102679df27bb0ae12b3f85be6BucketOwnerCanonicalUserID",
                   "Type": "CanonicalUser"
               },
               "Permission": "FULL_CONTROL"
           },
           {
               "Grantee": {
                   "DisplayName": "THIRD-PARTY-EXAMPLE-ACCOUNT",
                   "ID": "72806de9d1ae8b171cca9e2494a8d1335dfced4ThirdPartyAccountCanonicalUserID",
                   "Type": "CanonicalUser"
               },
               "Permission": "READ"
           },
           {
               "Grantee": {
                   "DisplayName": "THIRD-PARTY-EXAMPLE-ACCOUNT",
                   "ID": "72806de9d1ae8b171cca9e2494a8d1335dfced4ThirdPartyAccountCanonicalUserID",
                   "Type": "CanonicalUser"
               },
               "Permission": "WRITE"
           }
       ]
   }

   Ein anderes Beispiel finden Sie ACLs unterBeispielhafte Walkthroughs.

2. Migrieren Sie Ihre ACL Bucket-Berechtigungen zu einer Bucket-Richtlinie:

   In diesem Beispiel gewährt Bucket-Richtlinien s3:PutObject und s3:ListBucketBerechtigungen für ein Drittanbieterkonto. In der Bucket-Richtlinie wird das Drittanbieter-Konto anhand der AWS-Konto ID (111122223333) identifiziert.

   aws s3api put-bucket-policy --bucket amzn-s3-demo-bucket --policy file://policy.json
   
   policy.json:
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "PolicyForCrossAccountAllowUpload",
               "Effect": "Allow",
               "Principal": {
                   "AWS": [
                       "arn:aws:iam::111122223333:root"
                   ]
               },
               "Action": [
                   "s3:PutObject",
                   "s3:ListBucket"
               ],
               "Resource": [
               	"arn:aws:s3:::amzn-s3-demo-bucket",
               	"arn:aws:s3:::amzn-s3-demo-bucket/*"
           }
       ]
   }

   Weitere Beispiele für Bucket-Richtlinien finden Sie unter Beispiele für Bucket-Richtlinie und Beispielhafte Walkthroughs.

3. Um das ACL für ein bestimmtes Objekt zurückzugeben, verwenden Sie get-object-acl AWS CLI Befehl.

   aws s3api get-object-acl --bucket amzn-s3-demo-bucket --key EXAMPLE-OBJECT-KEY

4. Migrieren Sie bei Bedarf ACL Objektberechtigungen zu Ihrer Bucket-Richtlinie.

   Dieses Beispiel-Ressourcenelement gewährt Zugriff auf ein bestimmtes Objekt in einer Bucket-Richtlinie.

   "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/EXAMPLE-OBJECT-KEY"

5. Setzen Sie die ACL für Ihren Bucket auf die Standardeinstellung zurückACL.

   aws s3api put-bucket-acl --bucket amzn-s3-demo-bucket --acl private

6. Wenden Sie die Einstellung „Bucket-Eigentümer erzwungen“ für die Objekteigentümerschaft an.

Um ACL Bucket-Berechtigungen für die S3-Protokollzustellungsgruppe in einer Bucket-Richtlinie auf den Logging-Serviceprinzipal zu migrieren

1. Fügen Sie Ihrem Ziel-Bucket die folgende Bucket-Richtlinie hinzu. wobei Sie die Beispielwerte ersetzen.

   aws s3api put-bucket-policy --bucket amzn-s3-demo-bucket --policy file://policy.json
   
   policy.json:						{
       {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "S3ServerAccessLogsPolicy",
               "Effect": "Allow",
               "Principal": {
                   "Service": "logging.s3.amazonaws.com"
               },
               "Action": [
                   "s3:PutObject"
               ],
               "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/EXAMPLE-LOGGING-PREFIX*",
               "Condition": {
                   "ArnLike": {
                       "aws:SourceArn": "arn:aws:s3:::SOURCE-BUCKET-NAME"
                   },
                   "StringEquals": {
                       "aws:SourceAccount": "SOURCE-AWS-ACCOUNT-ID"
                   }
               }
           }
       ]
   }							

2. Setzen Sie den Bucket ACL für Ihren Ziel-Bucket auf die Standardeinstellung zurückACL.

   aws s3api put-bucket-acl --bucket amzn-s3-demo-bucket --acl private

3. Wenden Sie die Einstellung „Von Bucket-Besitzer erzwungen“ für den Objektbesitz auf Ihren Ziel-Bucket an.

Um öffentliche ACL Leseberechtigungen auf eine Bucket-Richtlinie zu migrieren

1. Um öffentlichen Lesezugriff auf alle Objekte in Ihrem Bucket zu gewähren, fügen Sie die folgende Bucket-Richtlinie hinzu und ersetzen Sie die Beispielwerte.

   aws s3api put-bucket-policy --bucket amzn-s3-demo-bucket --policy file://policy.json
   
   policy.json:
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "PublicReadGetObject",
               "Effect": "Allow",
               "Principal": "*",
               "Action": [
                   "s3:GetObject"
               ],
               "Resource": [
                   "arn:aws:s3:::amzn-s3-demo-bucket/*"
               ]
           }
       ]
   }

   Um öffentlichen Zugriff auf ein bestimmtes Objekt in einer Bucket-Richtlinie zu gewähren, verwenden Sie das folgende Format für das Resource-Element.

   "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/OBJECT-KEY"

   Um öffentlichen Zugriff auf alle Objekte mit einem bestimmten Präfix zu gewähren, verwenden Sie das folgende Format für das Resource-Element.

   "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/PREFIX/*"

2. Wenden Sie die Einstellung „Bucket-Eigentümer erzwungen“ für die Objekteigentümerschaft an.

Um ACL Bucket-Berechtigungen für ElastiCache (RedisOSS) zu einer Bucket-Richtlinie zu migrieren

1. Fügen Sie Ihrem Bucket die folgende Bucket-Richtlinie hinzu und ersetzen Sie die Beispielwerte.

   aws s3api put-bucket-policy --bucket amzn-s3-demo-bucket --policy file://policy.json
   
   policy.json:
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "Stmt15399483",
               "Effect": "Allow",
               "Principal": {
                   "Service": "Region.elasticache-snapshot.amazonaws.com"
               },
               "Action": [
                   "s3:PutObject",
                   "s3:GetObject",
                   "s3:ListBucket",
                   "s3:GetBucketAcl",
                   "s3:ListMultipartUploadParts",
                   "s3:ListBucketMultipartUploads"
               ],
               "Resource": [
                   "arn:aws:s3:::amzn-s3-demo-bucket",
                   "arn:aws:s3:::amzn-s3-demo-bucket/*"
               ]
           }
       ]
   }

2. Setzen Sie die ACL für Ihren Bucket auf die Standardeinstellung zurückACL:

   aws s3api put-bucket-acl --bucket amzn-s3-demo-bucket --acl private

3. Wenden Sie die Einstellung „Bucket-Eigentümer erzwungen“ für die Objekteigentümerschaft an.