Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Konfiguration von Rollup-Regionen in Security Lake
Eine Rollup-Region konsolidiert Daten aus einer oder mehreren beitragenden Regionen. Die Angabe einer Rollup-Region kann Ihnen dabei helfen, die regionalen Compliance-Anforderungen zu erfüllen.
Wichtig
Wenn Sie eine benutzerdefinierte Quelle erstellt haben, empfiehlt Security Lake, die unter Bewährte Methoden für die Aufnahme benutzerdefinierter Quellen beschriebenen bewährten Methoden zu befolgen, um sicherzustellen, dass benutzerdefinierte Quelldaten ordnungsgemäß auf das Ziel repliziert werden. Die Replikation kann nicht für Daten durchgeführt werden, die nicht dem Datenpfadformat der S3-Partition entsprechen, wie auf der Seite beschrieben.
Bevor Sie eine Rollup-Region hinzufügen, müssen Sie zunächst zwei verschiedene Rollen in AWS Identity and Access Management () IAM erstellen:
Anmerkung
Security Lake erstellt diese IAM Rollen oder verwendet vorhandene Rollen in Ihrem Namen, wenn Sie die Security Lake-Konsole verwenden. Sie müssen diese Rollen jedoch erstellen, wenn Sie den Security Lake API oder verwenden AWS CLI.
IAMRolle für die Datenreplikation
Diese IAM Rolle erteilt Amazon S3 die Erlaubnis, Quellprotokolle und Ereignisse in mehreren Regionen zu replizieren.
Um diese Berechtigungen zu gewähren, erstellen Sie eine IAM Rolle, die mit dem Präfix beginntSecurityLake, und fügen Sie der Rolle die folgende Beispielrichtlinie hinzu. Sie benötigen den Amazon-Ressourcennamen (ARN) der Rolle, wenn Sie eine Rollup-Region in Security Lake erstellen. In dieser Richtlinie sourceRegions handelt es sich um beitragende Regionen und um destinationRegions Rollup-Regionen.
{ "Version": "2012-10-17", "Statement": [ { "Sid": "AllowReadS3ReplicationSetting", "Action": [ "s3:ListBucket", "s3:GetReplicationConfiguration", "s3:GetObjectVersionForReplication", "s3:GetObjectVersion", "s3:GetObjectVersionAcl", "s3:GetObjectVersionTagging", "s3:GetObjectRetention", "s3:GetObjectLegalHold" ], "Effect": "Allow", "Resource": [ "arn:aws:s3:::aws-security-data-lake-[[sourceRegions]]*", "arn:aws:s3:::aws-security-data-lake-[[sourceRegions]]*/*" ], "Condition": { "StringEquals": { "s3:ResourceAccount": [ "{{bucketOwnerAccountId}}" ] } } }, { "Sid": "AllowS3Replication", "Action": [ "s3:ReplicateObject", "s3:ReplicateDelete", "s3:ReplicateTags", "s3:GetObjectVersionTagging" ], "Effect": "Allow", "Resource": [ "arn:aws:s3:::aws-security-data-lake-[[destinationRegions]]*/*" ], "Condition": { "StringEquals": { "s3:ResourceAccount": [ "{{bucketOwnerAccountId}}" ] } } } ] }
Fügen Sie Ihrer Rolle die folgende Vertrauensrichtlinie hinzu, damit Amazon S3 die Rolle übernehmen kann:
{ "Version": "2012-10-17", "Statement": [ { "Sid": "AllowS3ToAssume", "Effect": "Allow", "Principal": { "Service": "s3.amazonaws.com" }, "Action": "sts:AssumeRole" } ] }
Wenn Sie einen vom Kunden verwalteten Schlüssel von AWS Key Management Service (AWS KMS) verwenden, um Ihren Security Lake Data Lake zu verschlüsseln, müssen Sie zusätzlich zu den Berechtigungen in der Datenreplikationsrichtlinie die folgenden Berechtigungen gewähren.
{ "Action": [ "kms:Decrypt" ], "Effect": "Allow", "Condition": { "StringLike": { "kms:ViaService": [ "s3.{sourceRegion1}.amazonaws.com", "s3.{sourceRegion2}.amazonaws.com" ], "kms:EncryptionContext:aws:s3:arn": [ "arn:aws:s3:::aws-security-data-lake-{sourceRegion1}*", "arn:aws:s3:::aws-security-data-lake-{sourceRegion2}*" ] } }, "Resource": [ "{sourceRegion1KmsKeyArn}", "{sourceRegion2KmsKeyArn}" ] }, { "Action": [ "kms:Encrypt" ], "Effect": "Allow", "Condition": { "StringLike": { "kms:ViaService": [ "s3.{destinationRegion1}.amazonaws.com", ], "kms:EncryptionContext:aws:s3:arn": [ "arn:aws:s3:::aws-security-data-lake-{destinationRegion1}*", ] } }, "Resource": [ "{destinationRegionKmsKeyArn}" ] }
Weitere Informationen zu Replikationsrollen finden Sie unter Berechtigungen einrichten im Amazon Simple Storage Service-Benutzerhandbuch.
IAMRolle zur Registrierung von AWS Glue Partitionen
Diese IAM Rolle gewährt Berechtigungen für eine AWS Lambda Partitionsaktualisierungsfunktion, die von Security Lake verwendet wird, um AWS Glue Partitionen für die S3-Objekte zu registrieren, die aus anderen Regionen repliziert wurden. Ohne diese Rolle zu erstellen, können Abonnenten keine Ereignisse von diesen Objekten abfragen.
Um diese Berechtigungen zu gewähren, erstellen Sie eine Rolle mit dem Namen AmazonSecurityLakeMetaStoreManager (möglicherweise haben Sie diese Rolle bereits beim Onboarding in Security Lake erstellt). Weitere Informationen zu dieser Rolle, einschließlich einer Beispielrichtlinie, finden Sie unterSchritt 1: Rollen erstellen IAM.
In der Lake Formation Formation-Konsole müssen Sie auch AmazonSecurityLakeMetaStoreManager Berechtigungen als Data Lake-Administrator gewähren, indem Sie die folgenden Schritte ausführen:
Öffnen Sie die Lake Formation Formation-Konsole unter https://console.aws.amazon.com/lakeformation/
. Melden Sie sich als Administratorbenutzer an.
Wenn das Fenster Willkommen bei Lake Formation angezeigt wird, wählen Sie den Benutzer aus, den Sie in Schritt 1 erstellt oder ausgewählt haben, und wählen Sie dann Erste Schritte aus.
Wenn das Fenster Willkommen bei Lake Formation nicht angezeigt wird, führen Sie die folgenden Schritte aus, um einen Lake Formation-Administrator zu konfigurieren.
Wählen Sie im Navigationsbereich unter Berechtigungen die Option Administrative Rollen und Aufgaben aus. Wählen Sie auf der Konsolenseite im Abschnitt Data Lake-Administratoren die Option Administratoren auswählen aus.
Wählen Sie im Dialogfeld Data Lake-Administratoren verwalten für IAM Benutzer und Rollen die AmazonSecurityLakeMetaStoreManagerIAMRolle aus, die Sie erstellt haben, und klicken Sie dann auf Speichern.
Weitere Informationen zum Ändern der Berechtigungen für Data Lake-Administratoren finden Sie unter Erstellen eines Data Lake-Administrators im AWS Lake Formation Entwicklerhandbuch.
Rollup-Regionen hinzufügen
Wählen Sie Ihre bevorzugte Zugriffsmethode und folgen Sie diesen Schritten, um eine Rollup-Region hinzuzufügen.
Anmerkung
Eine Region kann Daten zu mehreren Rollup-Regionen beitragen. Eine Rollup-Region kann jedoch keine beitragende Region für eine andere Rollup-Region sein.
Rollup-Regionen aktualisieren oder entfernen
Wählen Sie Ihre bevorzugte Zugriffsmethode und gehen Sie wie folgt vor, um Rollup-Regionen in Security Lake zu aktualisieren oder zu entfernen.
