Voraussetzungen für die Deaktivierung ACLs

So überprüfen Sie die ACL-Berechtigungen eines Buckets

1. Melden Sie sich bei der an AWS Management Console und öffnen Sie die Amazon S3 S3-Konsole unter https://console.aws.amazon.com/s3/.

2. Wählen Sie in der Liste Buckets den Namen des Buckets aus.

3. Wählen Sie die Registerkarte Berechtigungen.

4. Überprüfen Sie unter Zugriffskontrollliste (ACL) Ihre Bucket-ACL-Berechtigungen.

So überprüfen Sie die ACL-Berechtigungen eines Objekts

1. Melden Sie sich bei der an AWS Management Console und öffnen Sie die Amazon S3 S3-Konsole unter https://console.aws.amazon.com/s3/.

2. Wählen Sie in der Liste Buckets den Namen des Buckets aus, der Ihr Objekt enthält.

3. Wählen Sie in der Liste Objekts (Objekte) den Objektnamen aus.

4. Wählen Sie die Registerkarte Berechtigungen.

5. Überprüfen Sie unter Zugriffskontrollliste (ACL) Ihre Objekt-ACL-Berechtigungen.

So migrieren Sie ACL-Berechtigungen und aktualisieren Ihre Bucket-ACL

1. Melden Sie sich bei der an AWS Management Console und öffnen Sie die Amazon S3 S3-Konsole unter https://console.aws.amazon.com/s3/.

2. Wählen Sie in der Liste Buckets den Namen des Buckets aus.

3. Wählen Sie auf der Registerkarte Berechtigungen unter Bucket-Richtlinie die Option Bearbeiten aus.

4. Fügen Sie im Feld Richtlinie Ihre Bucket-Richtlinie hinzu oder aktualisieren Sie sie.

   Beispiele für Bucket-Richtlinien finden Sie unter Beispiele für Bucket-Richtlinie und Beispielhafte Walkthroughs.

5. Wählen Sie Änderungen speichern.

6. Aktualisieren Sie Ihre Bucket ACL um Zuschüsse für andere Gruppen oder AWS-Konten zu entfernen.

7. Wenden Sie die Einstellung Bucket-Eigentümer erzwungen für die Objekteigentümerschaft an.

1. Um die Bucket-ACL für Ihren Bucket zurückzugeben, verwenden Sie den get-bucket-acl AWS CLI Befehl:

   aws s3api get-bucket-acl --bucket amzn-s3-demo-bucket

   Zum Beispiel gewährt dieser Bucket-ACL WRITE- und READ-Zugriff auf ein Drittanbieter-Konto. In dieser ACL wird das Drittanbieterkonto durch die kanonische Benutzer-ID identifiziert. Um die Einstellung „Bucket Owner erforced“ anzuwenden und zu deaktivieren ACLs, müssen Sie diese Berechtigungen für das Drittanbieter-Konto auf eine Bucket-Richtlinie migrieren.

   {
       "Owner": {
           "DisplayName": "DOC-EXAMPLE-ACCOUNT-OWNER",
           "ID": "852b113e7a2f25102679df27bb0ae12b3f85be6BucketOwnerCanonicalUserID"
       },
       "Grants": [
           {
               "Grantee": {
                   "DisplayName": "DOC-EXAMPLE-ACCOUNT-OWNER",
                   "ID": "852b113e7a2f25102679df27bb0ae12b3f85be6BucketOwnerCanonicalUserID",
                   "Type": "CanonicalUser"
               },
               "Permission": "FULL_CONTROL"
           },
           {
               "Grantee": {
                   "DisplayName": "THIRD-PARTY-EXAMPLE-ACCOUNT",
                   "ID": "72806de9d1ae8b171cca9e2494a8d1335dfced4ThirdPartyAccountCanonicalUserID",
                   "Type": "CanonicalUser"
               },
               "Permission": "READ"
           },
           {
               "Grantee": {
                   "DisplayName": "THIRD-PARTY-EXAMPLE-ACCOUNT",
                   "ID": "72806de9d1ae8b171cca9e2494a8d1335dfced4ThirdPartyAccountCanonicalUserID",
                   "Type": "CanonicalUser"
               },
               "Permission": "WRITE"
           }
       ]
   }

   Ein anderes Beispiel finden Sie ACLs unterBeispielhafte Walkthroughs.

2. Migrieren Sie Ihre Bucket-ACL-Berechtigungen auf eine Bucket-Richtlinie:

   In diesem Beispiel gewährt Bucket-Richtlinien s3:PutObject und s3:ListBucketBerechtigungen für ein Drittanbieterkonto. In der Bucket-Richtlinie wird das Drittanbieter-Konto anhand der AWS-Konto ID (111122223333) identifiziert.

   aws s3api put-bucket-policy --bucket amzn-s3-demo-bucket --policy file://policy.json
   
   policy.json:
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "PolicyForCrossAccountAllowUpload",
               "Effect": "Allow",
               "Principal": {
                   "AWS": [
                       "arn:aws:iam::111122223333:root"
                   ]
               },
               "Action": [
                   "s3:PutObject",
                   "s3:ListBucket"
               ],
               "Resource": [
               	"arn:aws:s3:::amzn-s3-demo-bucket",
               	"arn:aws:s3:::amzn-s3-demo-bucket/*"
           }
       ]
   }

   Weitere Beispiele für Bucket-Richtlinien finden Sie unter Beispiele für Bucket-Richtlinie und Beispielhafte Walkthroughs.

3. Um die ACL für ein bestimmtes Objekt zurückzugeben, verwenden Sie get-object-acl AWS CLI Befehl.

   aws s3api get-object-acl --bucket amzn-s3-demo-bucket --key EXAMPLE-OBJECT-KEY

4. Migrieren Sie bei Bedarf Objekt-ACL-Berechtigungen auf Ihre Bucket-Richtlinie.

   Dieses Beispiel-Ressourcenelement gewährt Zugriff auf ein bestimmtes Objekt in einer Bucket-Richtlinie.

   "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/EXAMPLE-OBJECT-KEY"

5. Setzen Sie die ACL für Ihren Bucket auf die Standard-ACL zurück.

   aws s3api put-bucket-acl --bucket amzn-s3-demo-bucket --acl private

6. Wenden Sie die Einstellung „Bucket-Eigentümer erzwungen“ für die Objekteigentümerschaft an.

So migrieren Sie Bucket-ACL-Berechtigungen für die S3-Protokollbereitstellungsgruppe zum Protokollierungsdienstprinzipal in einer Bucket-Richtlinie

1. Fügen Sie Ihrem Ziel-Bucket die folgende Bucket-Richtlinie hinzu. wobei Sie die Beispielwerte ersetzen.

   aws s3api put-bucket-policy --bucket amzn-s3-demo-bucket --policy file://policy.json
   
   policy.json:						{
       {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "S3ServerAccessLogsPolicy",
               "Effect": "Allow",
               "Principal": {
                   "Service": "logging.s3.amazonaws.com"
               },
               "Action": [
                   "s3:PutObject"
               ],
               "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/EXAMPLE-LOGGING-PREFIX*",
               "Condition": {
                   "ArnLike": {
                       "aws:SourceArn": "arn:aws:s3:::SOURCE-BUCKET-NAME"
                   },
                   "StringEquals": {
                       "aws:SourceAccount": "SOURCE-AWS-ACCOUNT-ID"
                   }
               }
           }
       ]
   }							

2. Setzen Sie die ACL für Ihren Ziel-Bucket auf die Standard-ACL zurück.

   aws s3api put-bucket-acl --bucket amzn-s3-demo-bucket --acl private

3. Wenden Sie die Einstellung „Von Bucket-Besitzer erzwungen“ für den Objektbesitz auf Ihren Ziel-Bucket an.

So migrieren Sie Berechtigungen für öffentliche Lese-ACL auf eine Bucket-Richtlinie

1. Um öffentlichen Lesezugriff auf alle Objekte in Ihrem Bucket zu gewähren, fügen Sie die folgende Bucket-Richtlinie hinzu und ersetzen Sie die Beispielwerte.

   aws s3api put-bucket-policy --bucket amzn-s3-demo-bucket --policy file://policy.json
   
   policy.json:
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "PublicReadGetObject",
               "Effect": "Allow",
               "Principal": "*",
               "Action": [
                   "s3:GetObject"
               ],
               "Resource": [
                   "arn:aws:s3:::amzn-s3-demo-bucket/*"
               ]
           }
       ]
   }

   Um öffentlichen Zugriff auf ein bestimmtes Objekt in einer Bucket-Richtlinie zu gewähren, verwenden Sie das folgende Format für das Resource-Element.

   "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/OBJECT-KEY"

   Um öffentlichen Zugriff auf alle Objekte mit einem bestimmten Präfix zu gewähren, verwenden Sie das folgende Format für das Resource-Element.

   "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/PREFIX/*"

2. Wenden Sie die Einstellung „Bucket-Eigentümer erzwungen“ für die Objekteigentümerschaft an.

Um Bucket-ACL-Berechtigungen für ElastiCache (Redis OSS) zu einer Bucket-Richtlinie zu migrieren

1. Fügen Sie Ihrem Bucket die folgende Bucket-Richtlinie hinzu und ersetzen Sie die Beispielwerte.

   aws s3api put-bucket-policy --bucket amzn-s3-demo-bucket --policy file://policy.json
   
   policy.json:
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "Stmt15399483",
               "Effect": "Allow",
               "Principal": {
                   "Service": "Region.elasticache-snapshot.amazonaws.com"
               },
               "Action": [
                   "s3:PutObject",
                   "s3:GetObject",
                   "s3:ListBucket",
                   "s3:GetBucketAcl",
                   "s3:ListMultipartUploadParts",
                   "s3:ListBucketMultipartUploads"
               ],
               "Resource": [
                   "arn:aws:s3:::amzn-s3-demo-bucket",
                   "arn:aws:s3:::amzn-s3-demo-bucket/*"
               ]
           }
       ]
   }

2. Setzen Sie die ACL für Ihren Bucket auf die Standard-ACL zurück:

   aws s3api put-bucket-acl --bucket amzn-s3-demo-bucket --acl private

3. Wenden Sie die Einstellung „Bucket-Eigentümer erzwungen“ für die Objekteigentümerschaft an.