Permisos del bucket de Amazon S3 para el canal AWS Config de entrega

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Los buckets y objetos de Amazon S3 son privados de forma predeterminada. Solo la persona Cuenta de AWS que creó el bucket (el propietario del recurso) tiene permisos de acceso. Los propietarios de los recursos pueden conceder acceso a otros recursos y usuarios mediante la creación de políticas de acceso.

Cuando crea AWS Config automáticamente un bucket de S3 para usted, añade los permisos necesarios. Sin embargo, si especifica un depósito de S3 existente, debe añadir estos permisos manualmente.

Permisos necesarios para el bucket de Amazon S3 cuando se utilizan roles de IAM

AWS Config utiliza la función de IAM que asignó al registrador de configuración para enviar el historial de configuración y las instantáneas a los depósitos de S3 de su cuenta. Para la entrega entre cuentas, AWS Config primero intenta usar la función de IAM asignada. Si la política de bucket no permite el WRITE acceso a la función de IAM, AWS Config utiliza la config.amazonaws.com función principal de servicio. La política de bucket debe permitir el WRITE acceso a config.amazonaws.com para completar la entrega. Tras una entrega correcta, AWS Config conserva la propiedad de todos los objetos que entrega al depósito multicuenta de S3.

AWS Config llama a la HeadBucketAPI de Amazon S3 con la función de IAM que asignó al registrador de configuración para confirmar si el bucket de S3 existe y su ubicación. Si no tiene los permisos necesarios AWS Config para confirmarlo, aparecerá un AccessDenied error en sus AWS CloudTrail registros. Sin embargo, AWS Config puede seguir proporcionando el historial de configuración y las instantáneas aunque AWS Config no disponga de los permisos necesarios para confirmar la existencia del bucket de S3 y su ubicación.

Permisos necesarios para el bucket de Amazon S3 cuando se utilizan roles vinculados a servicios

El rol AWS Config vinculado al servicio no tiene permiso para colocar objetos en los buckets de Amazon S3. Si lo configura AWS Config mediante un rol vinculado a un servicio, AWS Config utilizará el principal de config.amazonaws.com servicio para entregar el historial de configuración y las instantáneas. La política de compartimentos de S3 de su cuenta o de los destinos de varias cuentas debe incluir permisos para que el director del AWS Config servicio escriba objetos.

Concesión de AWS Config acceso al Amazon S3 Bucket

Complete los siguientes pasos AWS Config para enviar el historial de configuración y las instantáneas a un bucket de Amazon S3.

La AWS:SourceAccount condición restringe las AWS Config operaciones a lo especificado. Cuentas de AWS Para las configuraciones de varias cuentas dentro de una organización que realizan entregas en un único segmento de S3, utilice funciones de IAM con claves de AWS Organizations condiciones en lugar de funciones vinculadas al servicio. Por ejemplo, AWS:PrincipalOrgID. Para obtener más información, consulte Administrar los permisos de acceso de una organización en la Guía del usuario.AWS Organizations

La AWS:SourceArn condición restringe AWS Config las operaciones a canales de entrega específicos. El AWS:SourceArn formato es el siguiente:arn:aws:config:sourceRegion:123456789012.

Por ejemplo, para restringir el acceso al bucket de S3 a un canal de entrega de la región EE.UU. Este (Virginia del Norte) para la cuenta 123456789012, añada la siguiente condición:

"ArnLike": {"AWS:SourceArn": "arn:aws:config:us-east-1:123456789012:"}

Permisos necesarios para el bucket de Amazon S3 al realizar entregas entre cuentas

Si AWS Config está configurado para entregar el historial de configuración y las instantáneas a un bucket de Amazon S3 en una cuenta diferente (configuración multicuenta), donde el registrador de configuración y el bucket de S3 especificado para el canal de entrega son diferentes Cuentas de AWS, se requieren los siguientes permisos:

A continuación, se muestra un ejemplo de configuración de política de bucket:

{
      "Sid": "AWSConfigBucketExistenceCheck",
      "Effect": "Allow",
      "Principal": {
        "Service": "config.amazonaws.com",
        "AWS": "IAM Role-Arn assigned to the configuartion recorder"
      },
      "Action": "s3:ListBucket",
      "Resource": "arn:aws:s3:::amzn-s3-demo-bucket",
      "Condition": {
        "StringEquals": {
          "AWS:SourceAccount": "sourceAccountID"
        }
      }
}