Ein Produkt veröffentlichen in AWS Data Exchange enthält Amazon S3-Datenzugriff

Voraussetzungen

• Vergewissern Sie sich, dass für die Amazon S3-Buckets, die die Daten hosten, die Einstellung Amazon S3-Bucket Owner Enforced konfiguriert ist, die Option ACLs Deaktiviert aktiviert ist. Weitere Informationen finden Sie unter Kontrolle des Eigentums an Objekten und Deaktivieren von ACLs für Ihren Bucket im Amazon Simple Storage Service-Benutzerhandbuch.

• Ihre gemeinsam genutzten Objekte müssen der Amazon S3 Standard Storage-Klasse angehören oder mithilfe von S3 Intelligent Tiering verwaltet werden, damit Abonnenten erfolgreich auf sie zugreifen können. Wenn sie sich in anderen Speicherklassen befinden oder wenn Sie Intelligent Tiering mit Deep Archive aktiviert haben, erhalten Ihre Abonnenten eine Fehlermeldung, da sie dazu nicht berechtigt sind. RestoreObject

• Vergewissern Sie sich, dass für die Amazon S3-Buckets, die die Daten hosten, die Verschlüsselung deaktiviert ist oder dass die Verschlüsselung mit von Amazon S3 verwalteten Schlüsseln (SSE-S3) oder kundenverwalteten Schlüsseln, die in AWS Key Management Service (AWS KMS) gespeichert sind, verschlüsselt ist.

• Wenn Sie vom Kunden verwaltete Schlüssel verwenden, müssen Sie über Folgendes verfügen:

  1. IAM-Berechtigungen für kms:CreateGrant die KMS-Schlüssel. Sie können über die Schlüsselrichtlinie, die IAM-Anmeldeinformationen oder durch eine AWS KMS Erteilung des KMS-Schlüssels auf diese Berechtigungen zugreifen. Weitere Informationen zur Schlüsselverwaltung und Informationen zur AWS Data Exchange Verwendung von AWS KMS-Zuweisungen finden Sie unterErstellen AWS KMS Zuschüsse.

     Um Zugriff zu gewähren, fügen Sie Ihren Benutzern, Gruppen oder Rollen Berechtigungen hinzu:

     • Benutzer und Gruppen in AWS IAM Identity Center:

       Erstellen Sie einen Berechtigungssatz. Befolgen Sie die Anweisungen unter Erstellen eines Berechtigungssatzes im AWS IAM Identity Center -Benutzerhandbuch.

     • Benutzer, die in IAM über einen Identitätsanbieter verwaltet werden:

       Erstellen Sie eine Rolle für den Identitätsverbund. Befolgen Sie die Anleitung unter Eine Rolle für einen externen Identitätsanbieter (Verbund) erstellen im IAM-Benutzerhandbuch.

     • IAM-Benutzer:

       • Erstellen Sie eine Rolle, die Ihr Benutzer annehmen kann. Befolgen Sie die Anleitung unter Eine Rolle für einen IAM-Benutzer erstellen im IAM-Benutzerhandbuch.

       • (Nicht empfohlen) Weisen Sie einem Benutzer eine Richtlinie direkt zu oder fügen Sie einen Benutzer zu einer Benutzergruppe hinzu. Befolgen Sie die Anweisungen unter Hinzufügen von Berechtigungen zu einem Benutzer (Konsole) im IAM-Benutzerhandbuch.

     Benutzer benötigen programmatischen Zugriff, wenn sie AWS außerhalb von interagieren möchten. AWS-Managementkonsole Die Art und Weise, wie programmgesteuerter Zugriff gewährt wird, hängt vom Benutzertyp ab, der zugreift. AWS

     Um Benutzern programmgesteuerten Zugriff zu gewähren, wählen Sie eine der folgenden Optionen.

     Welcher Benutzer benötigt programmgesteuerten Zugriff?	Bis	Von
     IAM	(Empfohlen) Verwenden Sie Konsolenanmeldedaten als temporäre Anmeldeinformationen, um programmatische Anforderungen an die AWS SDKs AWS CLI oder APIs zu signieren. AWS	Befolgen Sie die Anweisungen für die Schnittstelle, die Sie verwenden möchten. Informationen dazu finden Sie im AWS Command Line Interface Benutzerhandbuch unter Anmeldung für AWS lokale Entwicklung. AWS CLI Informationen zu AWS SDKs finden Sie unter Anmeldung für AWS lokale Entwicklung im Referenzhandbuch für AWS SDKs und Tools.
     Mitarbeiteridentität (Benutzer, die in IAM Identity Center verwaltet werden)	Verwenden Sie temporäre Anmeldeinformationen, um programmatische Anfragen an die AWS SDKs oder AWS CLI APIs zu signieren. AWS	Befolgen Sie die Anweisungen für die Schnittstelle, die Sie verwenden möchten. Informationen dazu finden Sie AWS IAM Identity Center im AWS Command Line Interface Benutzerhandbuch unter Configuring AWS CLI to use. AWS CLI Informationen zu AWS SDKs, Tools und AWS APIs finden Sie unter IAM Identity Center-Authentifizierung im Referenzhandbuch für AWS SDKs und Tools.
     IAM	Verwenden Sie temporäre Anmeldeinformationen, um programmatische Anfragen an die AWS CLI, AWS SDKs oder AWS APIs zu signieren.	Folgen Sie den Anweisungen unter Verwenden temporärer Anmeldeinformationen mit AWS Ressourcen im IAM-Benutzerhandbuch.
     IAM	(Nicht empfohlen) Verwenden Sie langfristige Anmeldeinformationen, um programmatische Anfragen an die AWS CLI, AWS SDKs oder APIs zu signieren. AWS	Befolgen Sie die Anweisungen für die Schnittstelle, die Sie verwenden möchten. Informationen dazu finden Sie im AWS CLI Benutzerhandbuch unter Authentifizierung mit IAM-Benutzeranmeldeinformationen. AWS Command Line Interface Informationen zu AWS SDKs und Tools finden Sie unter Authentifizieren mit langfristigen Anmeldeinformationen im Referenzhandbuch für AWS SDKs und Tools. Informationen zu AWS APIs finden Sie unter Verwalten von Zugriffsschlüsseln für IAM-Benutzer im IAM-Benutzerhandbuch.

     Im Folgenden finden Sie ein Beispiel für eine JSON-Richtlinie, die zeigt, wie Sie die Schlüsselrichtlinie des KMS-Schlüssels erweitern können.

     
     {
           "Sid": "AllowCreateGrantPermission",
           "Effect": "Allow",
           "Principal": {
     "AWS": "<IAM identity who will call Dataexchange API>"             
           },
           "Action": "kms:CreateGrant",
           "Resource": "*"
     }
     

     Die folgende Richtlinie zeigt ein Beispiel für eine Hinzufügung einer Richtlinie für die verwendete IAM-Identität.

     JSON

     {
         "Version":"2012-10-17",
         "Statement": [
             {
                 "Effect": "Allow",
                 "Sid": "AllowCreateGrantPermission",
                 "Action": [
                     "kms:CreateGrant"
                 ],
                 "Resource": [
                 "arn:aws:kms:us-east-1:111122223333:key/KeyId"
                 ]
             }
         ]
     }
     

     Anmerkung

     Kontoübergreifende KMS-Schlüssel sind ebenfalls zulässig, wenn die kms:CreateGrant Genehmigung für die KMS-Schlüssel im vorherigen Schritt eingeholt wurde. Wenn der Schlüssel einem anderen Konto gehört, müssen Sie über die Berechtigungen für die Schlüsselrichtlinie und Ihre IAM-Anmeldeinformationen verfügen, wie in den obigen Beispielen beschrieben.

  2. Stellen Sie sicher, dass Sie KMS-Schlüssel verwenden, um vorhandene und neue Objekte im Amazon S3-Bucket mithilfe der Amazon S3-Bucket-Schlüsselfunktion zu verschlüsseln. Weitere Informationen finden Sie unter Konfiguration von S3-Bucket-Schlüsseln im Amazon Simple Storage Service-Benutzerhandbuch.

     • Für neue Objekte, die Ihrem Amazon S3-Bucket hinzugefügt werden, können Sie standardmäßig die Amazon S3-Bucket-Schlüsselverschlüsselung einrichten. Wenn vorhandene Objekte ohne Verwendung der Amazon S3Bucket-Schlüsselfunktion verschlüsselt wurden, müssen diese Objekte migriert werden, um den Amazon S3-Bucket-Schlüssel für die Verschlüsselung zu verwenden.

       Verwenden Sie den Vorgang, um den Amazon S3-Bucket-Schlüssel für vorhandene Objekte zu aktivieren. copy Weitere Informationen finden Sie unter Konfiguration eines Amazon S3-Bucket-Schlüssels auf Objektebene mithilfe von Batch-Operationen.

     • AWS verwaltete KMS-Schlüssel oder werden AWS-eigene Schlüssel nicht unterstützt. Sie können von einem nicht unterstützten Verschlüsselungsschema zu den derzeit unterstützten wechseln. Weitere Informationen finden Sie im AWS Storage Blog unter Ändern Ihrer Amazon S3-Verschlüsselung.

  3. Stellen Sie die Amazon S3-Buckets, die die Daten hosten, so ein, dass sie AWS Data Exchange eigenen Zugriffspunkten vertrauen. Sie müssen diese Amazon S3-Bucket-Richtlinien aktualisieren, um AWS Data Exchange Berechtigungen zum Erstellen von Amazon S3-Zugangspunkten und zum Gewähren oder Entfernen von Abonnenten in Ihrem Namen zu erteilen oder zu entfernen. Wenn die Richtlinienerklärung fehlt, müssen Sie die Bucket-Richtlinie bearbeiten, um die Amazon S3-Standorte zu Ihrem Datensatz hinzuzufügen.

     Nachfolgend eine Beispielrichtlinie. <Bucket ARN>Ersetzen Sie durch den entsprechenden Wert.

     JSON

     {
         "Version":"2012-10-17",
         "Statement": [
             {
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "*"
                 },
                 "Action": [
                     "s3:GetObject",
                     "s3:ListBucket"
                 ],
                 "Resource": [
                     "arn:aws:s3:::BucketName",
                     "arn:aws:s3:::/*"
                 ],
                 "Condition": {
                     "StringEquals": {
                         "s3:DataAccessPointAccount": [
                             "337040091392",
                             "504002150500",
                             "366362662752",
                             "330489627928",
                             "291973504423",
                             "461002523379",
                             "036905324694",
                             "540564263739",
                             "675969394711",
                             "108584782536",
                             "844053218156"
                         ]
                     }
                 }
             }
         ]
     }