Crear una concesión de datos para AWS Data Exchange contener el acceso a los datos de Amazon S3

Requisitos previos

• Confirme que los buckets de Amazon S3 que alojan los datos estén configurados con la opción ACLsInhabilitada por el propietario del bucket de Amazon S3. Para obtener más información, consulta Cómo controlar la propiedad de los objetos y deshabilitar ACLs tu depósito en la Guía del usuario de Amazon Simple Storage Service.

• Sus objetos compartidos deben estar en la clase de almacenamiento estándar de Amazon S3 o gestionarse mediante Amazon S3 Intelligent-Tiering para que los receptores puedan acceder a ellos correctamente. Si están en otras clases de almacenamiento o si se ha activado Intelligent Tiering con Deep Archive, sus receptores verán errores porque no tendrán permiso para RestoreObject.

• Confirme que los buckets de Amazon S3 que alojan los datos tengan el cifrado desactivado o estén cifrados con claves administradas de Amazon S3 (SSE-S3) o claves administradas por el cliente almacenadas en AWS Key Management Service (AWSKMS).

• Si utiliza claves administradas por el cliente, debe disponer de lo siguiente:

  1. IAMpermisos para acceder a kms:CreateGrant las KMS claves. Puede acceder a estos permisos mediante la política de claves, IAM las credenciales o mediante la AWS KMS concesión de la KMS clave. Para obtener más información sobre la administración de claves y comprender cómo se AWS Data Exchange utilizan AWS KMS las concesiones, consulteCrear AWS KMS subvenciones.

     Para dar acceso, agregue permisos a los usuarios, grupos o roles:

     • Usuarios y grupos en AWS IAM Identity Center:

       Cree un conjunto de permisos. Siga las instrucciones de Creación de un conjunto de permisos en la Guía del usuario de AWS IAM Identity Center .

     • Usuarios gestionados IAM a través de un proveedor de identidad:

       Cree un rol para la federación de identidades. Siga las instrucciones de la Guía del IAM usuario sobre cómo crear un rol para un proveedor de identidades externo (federación).

     • IAMusuarios:

       • Cree un rol que el usuario pueda aceptar. Siga las instrucciones de la Guía del IAMusuario sobre cómo crear un rol para un IAM usuario.

       • (No recomendado) Adjunte una política directamente a un usuario o añada un usuario a un grupo de usuarios. Siga las instrucciones de Añadir permisos a un usuario (consola) de la Guía del IAM usuario.

     Los usuarios necesitan acceso mediante programación si desean interactuar con personas AWS ajenas a. AWS Management Console La forma de conceder el acceso programático depende del tipo de usuario que acceda. AWS

     Para conceder acceso programático a los usuarios, elija una de las siguientes opciones.

     ¿Qué usuario necesita acceso programático?	Para	Mediante
     Identidad del personal (Los usuarios se administran en IAM Identity Center)	Utilice credenciales temporales para firmar las solicitudes programáticas dirigidas al AWS CLI AWS SDKs, o AWS APIs.	Siga las instrucciones de la interfaz que desea utilizar: Para ello AWS CLI, consulte Configuración del AWS CLI uso AWS IAM Identity Center en la Guía del AWS Command Line Interface usuario. Para AWS SDKs ver las herramientas y AWS APIs, consulte la autenticación de IAM Identity Center en la Guía de referencia de herramientas AWS SDKs y herramientas.
     IAM	Utilice credenciales temporales para firmar las solicitudes programáticas dirigidas al AWS CLI AWS SDKs, o AWS APIs.	Siga las instrucciones de Uso de credenciales temporales con AWS recursos de la Guía del IAM usuario.
     IAM	(No recomendado) Utilice credenciales de larga duración para firmar las solicitudes programáticas dirigidas al AWS CLI, AWS SDKs, o AWS APIs.	Siga las instrucciones de la interfaz que desea utilizar: Para ello AWS CLI, consulte Autenticación con credenciales IAM de usuario en la Guía del AWS Command Line Interface usuario. Para obtener AWS SDKs información sobre las herramientas, consulte Autenticarse con credenciales de larga duración en la Guía de referencia de herramientas AWS SDKs y herramientas. Para ello AWS APIs, consulte Administrar las claves de acceso de IAM los usuarios en la Guía del IAM usuario.

     A continuación se muestra un ejemplo de JSON política que muestra cómo se puede añadir a la política clave de la KMS clave.

     
     {
           "Sid": "AllowCreateGrantPermission",
           "Effect": "Allow",
           "Principal": {
     "AWS": "<IAM identity who will call Dataexchange API>"             
           },
           "Action": "kms:CreateGrant",
           "Resource": "*"
     }
     

     La siguiente política muestra un ejemplo de adición de política para la IAM identidad que se utiliza.

     
     {
         "Version": "2012-10-17",
         "Statement": [
             {
                 "Effect": "Allow",
                 "Sid": "AllowCreateGrantPermission",
                 "Action": [
                      "kms:CreateGrant
                 ],
                 "Resource": [
                   <Enter KMS Key ARNs in your account>                
                 ]
             }
         ]
     }
     

     nota

     También se permiten KMS claves de cuentas cruzadas si el kms:CreateGrant permiso sobre las KMS claves se obtiene mediante el paso anterior. Si la clave es propiedad de otra cuenta, debes tener permisos sobre la política de claves y tus IAM credenciales, tal y como se detalla en los ejemplos anteriores.

  2. Asegúrese de utilizar KMS las claves para cifrar los objetos nuevos y existentes en el bucket de Amazon S3 mediante la función de clave de bucket de Amazon S3. Para obtener más información, consulte Configuración de claves de bucket de S3 en la Guía del usuario de la consola de Amazon Simple Storage Service.

     • Para los objetos nuevos agregados a su bucket de Amazon S3, puede configurar el cifrado de claves de bucket de Amazon S3 de forma predeterminada. Si los objetos existentes se han cifrado sin utilizar la función de clave de bucket de Amazon S3, es necesario migrar estos objetos para utilizar la clave de bucket de Amazon S3 para el cifrado.

       Para habilitar la clave de bucket de Amazon S3 para los objetos existentes, utilice la operación copy. Para obtener más información, consulte Configuración de una clave de bucket de Amazon S3 en el nivel de objeto mediante operaciones por lotes.

     • AWS KMSclaves administradas o Claves propiedad de AWS no son compatibles. Es posible migrar de un esquema de cifrado no compatible a los que se admiten actualmente. Para obtener más información, consulte Cambiar el cifrado de Amazon S3 en el blog sobre AWS almacenamiento.

  3. Configure los buckets de Amazon S3 que alojan los datos para que confíen en los puntos AWS Data Exchange de acceso propios. Debe actualizar estas políticas de bucket de Amazon S3 para conceder AWS Data Exchange permisos para crear puntos de acceso a Amazon S3 y conceder o eliminar el acceso de los suscriptores en su nombre. Si falta la declaración de política, debe editar la política de buckets para añadir las ubicaciones de Amazon S3 a su conjunto de datos.

     A continuación, se muestra una política de ejemplo. Sustituya <Bucket ARN> por el valor adecuado.

     {
         "Version": "2012-10-17",
         "Statement": [
             {
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "*"
                 },
                 "Action": [
                     "s3:GetObject",
                     "s3:ListBucket"
                 ],
                 "Resource": [
                     "<Bucket ARN>",
                     "<Bucket ARN>/*"
                 ],
                 "Condition": {
                     "StringEquals": {
                         "s3:DataAccessPointAccount": [
                             "337040091392",
                             "504002150500",
                             "366362662752",
                             "330489627928",
                             "291973504423",
                             "461002523379",
                             "036905324694",
                             "540564263739",
                             "675969394711",
                             "108584782536",
                             "844053218156"
                         ]
                     }
                 }
             }
         ]
     }