Conditions préalables à la désactivation ACLs

Pour passer en revue les autorisations ACL d’un compartiment

1. Connectez-vous à la console Amazon S3 AWS Management Console et ouvrez-la à l'adresse https://console.aws.amazon.com/s3/.

2. Dans la liste Compartiments, sélectionnez le nom de votre compartiment.

3. Sélectionnez l’onglet Autorisations.

4. Sous Access control list (ACL) (Liste de contrôle d’accès [ACL]), vérifiez les autorisations ACL de votre compartiment.

Pour passer en revue les autorisations ACL d’un objet

1. Connectez-vous à la console Amazon S3 AWS Management Console et ouvrez-la à l'adresse https://console.aws.amazon.com/s3/.

2. Dans la liste Compartiments, choisissez le nom du compartiment qui contient votre objet.

3. Dans la liste Objets, choisissez le nom de votre objet.

4. Sélectionnez l’onglet Autorisations.

5. Sous Access control list (ACL) (Liste de contrôle d’accès [ACL]), vérifiez les autorisations ACL de votre objet.

Pour migrer les autorisations ACL et mettre à jour la liste ACL de votre compartiment

1. Connectez-vous à la console Amazon S3 AWS Management Console et ouvrez-la à l'adresse https://console.aws.amazon.com/s3/.

2. Dans la liste Compartiments, sélectionnez le nom de votre compartiment.

3. Dans l’onglet Autorisations, sous Politique de compartiment, choisissez Modifier.

4. Dans la boîte Policy (Stratégie), ajoutez ou mettez à jour la politique de compartiment.

   Si vous souhaitez consulter des exemples de politiques de compartiment, consultez Exemples de stratégies de compartiment et Exemples de procédures.

5. Sélectionnez Enregistrer les modifications.

6. Mettez à jour la liste ACL de votre compartiment pour supprimer les autorisations ACL à d’autres groupes ou Comptes AWS.

7. Appliquez le paramètre Propriétaire du compartiment appliqué pour Propriété d’objets.

1. Pour renvoyer l'ACL du bucket correspondant à votre bucket, utilisez get-bucket-acl AWS CLI commande :

   aws s3api get-bucket-acl --bucket amzn-s3-demo-bucket

   Par exemple, cette liste ACL de compartiment accorde l’accès en WRITE et en READ à un compte tiers. Dans cette liste ACL, le compte tiers est identifié par l’ID d’utilisateur canonique. Pour appliquer le paramètre imposé par le propriétaire du bucket et le désactiver ACLs, vous devez migrer ces autorisations pour le compte tiers vers une politique de bucket.

   {
       "Owner": {
           "DisplayName": "DOC-EXAMPLE-ACCOUNT-OWNER",
           "ID": "852b113e7a2f25102679df27bb0ae12b3f85be6BucketOwnerCanonicalUserID"
       },
       "Grants": [
           {
               "Grantee": {
                   "DisplayName": "DOC-EXAMPLE-ACCOUNT-OWNER",
                   "ID": "852b113e7a2f25102679df27bb0ae12b3f85be6BucketOwnerCanonicalUserID",
                   "Type": "CanonicalUser"
               },
               "Permission": "FULL_CONTROL"
           },
           {
               "Grantee": {
                   "DisplayName": "THIRD-PARTY-EXAMPLE-ACCOUNT",
                   "ID": "72806de9d1ae8b171cca9e2494a8d1335dfced4ThirdPartyAccountCanonicalUserID",
                   "Type": "CanonicalUser"
               },
               "Permission": "READ"
           },
           {
               "Grantee": {
                   "DisplayName": "THIRD-PARTY-EXAMPLE-ACCOUNT",
                   "ID": "72806de9d1ae8b171cca9e2494a8d1335dfced4ThirdPartyAccountCanonicalUserID",
                   "Type": "CanonicalUser"
               },
               "Permission": "WRITE"
           }
       ]
   }

   Pour un autre exemple ACLs, voirExemples de procédures.

2. Migrez les autorisations ACL de votre compartiment vers une politique de compartiment :

   Cet exemple de politique de compartiment accorde des autorisations s3:PutObject et s3:ListBucket pour un compte tiers. Dans la politique du compartiment, le compte tiers est identifié par l' Compte AWS ID (111122223333).

   aws s3api put-bucket-policy --bucket amzn-s3-demo-bucket --policy file://policy.json
   
   policy.json:
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "PolicyForCrossAccountAllowUpload",
               "Effect": "Allow",
               "Principal": {
                   "AWS": [
                       "arn:aws:iam::111122223333:root"
                   ]
               },
               "Action": [
                   "s3:PutObject",
                   "s3:ListBucket"
               ],
               "Resource": [
               	"arn:aws:s3:::amzn-s3-demo-bucket",
               	"arn:aws:s3:::amzn-s3-demo-bucket/*"
           }
       ]
   }

   Si vous souhaitez consulter d’autres exemples de politiques de compartiment, consultez Exemples de stratégies de compartiment et Exemples de procédures.

3. Pour renvoyer l'ACL d'un objet spécifique, utilisez get-object-acl AWS CLI commande.

   aws s3api get-object-acl --bucket amzn-s3-demo-bucket --key EXAMPLE-OBJECT-KEY

4. Si nécessaire, migrez les autorisations ACL d’objet vers votre politique de compartiment.

   Cet exemple d’élément de ressource accorde l’accès à un objet spécifique dans une politique de compartiment.

   "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/EXAMPLE-OBJECT-KEY"

5. Réinitialisez la liste ACL de votre compartiment à la liste ACL par défaut.

   aws s3api put-bucket-acl --bucket amzn-s3-demo-bucket --acl private

6. Appliquez le paramètre Propriétaire du compartiment appliqué pour Propriété d’objets.

Pour migrer les autorisations ACL du compartiment pour le groupe de mise à disposition du journal S3 vers le principal du service de journalisation dans une politique de compartiment

1. Ajoutez la politique de compartiment suivante à votre compartiment de destination, en remplaçant les exemples de valeurs.

   aws s3api put-bucket-policy --bucket amzn-s3-demo-bucket --policy file://policy.json
   
   policy.json:						{
       {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "S3ServerAccessLogsPolicy",
               "Effect": "Allow",
               "Principal": {
                   "Service": "logging.s3.amazonaws.com"
               },
               "Action": [
                   "s3:PutObject"
               ],
               "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/EXAMPLE-LOGGING-PREFIX*",
               "Condition": {
                   "ArnLike": {
                       "aws:SourceArn": "arn:aws:s3:::SOURCE-BUCKET-NAME"
                   },
                   "StringEquals": {
                       "aws:SourceAccount": "SOURCE-AWS-ACCOUNT-ID"
                   }
               }
           }
       ]
   }							

2. Réinitialisez la liste ACL de votre compartiment de destination sur la liste ACL par défaut.

   aws s3api put-bucket-acl --bucket amzn-s3-demo-bucket --acl private

3. Appliquez le paramètre Propriétaire du compartiment appliqué pour Propriété d’objets à votre compartiment de destination.

Pour migrer les autorisations ACL publiques en lecture vers une politique de compartiment

1. Pour accorder un accès public en lecture à tous les objets de votre compartiment, ajoutez la politique de compartiment suivante, en remplaçant les exemples de valeurs.

   aws s3api put-bucket-policy --bucket amzn-s3-demo-bucket --policy file://policy.json
   
   policy.json:
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "PublicReadGetObject",
               "Effect": "Allow",
               "Principal": "*",
               "Action": [
                   "s3:GetObject"
               ],
               "Resource": [
                   "arn:aws:s3:::amzn-s3-demo-bucket/*"
               ]
           }
       ]
   }

   Pour accorder l’accès public à un objet spécifique dans une politique de compartiment, utilisez le format suivant pour l’élément Resource.

   "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/OBJECT-KEY"

   Pour accorder l’accès public à tous les objets avec un préfixe spécifique, utilisez le format suivant pour l’élément Resource.

   "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/PREFIX/*"

2. Appliquez le paramètre Propriétaire du compartiment appliqué pour Propriété d'objets

Pour migrer les autorisations ACL du bucket pour ElastiCache (Redis OSS) vers une politique de bucket

1. Ajoutez la politique de compartiment suivante à votre compartiment, en remplaçant les exemples de valeurs.

   aws s3api put-bucket-policy --bucket amzn-s3-demo-bucket --policy file://policy.json
   
   policy.json:
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "Stmt15399483",
               "Effect": "Allow",
               "Principal": {
                   "Service": "Region.elasticache-snapshot.amazonaws.com"
               },
               "Action": [
                   "s3:PutObject",
                   "s3:GetObject",
                   "s3:ListBucket",
                   "s3:GetBucketAcl",
                   "s3:ListMultipartUploadParts",
                   "s3:ListBucketMultipartUploads"
               ],
               "Resource": [
                   "arn:aws:s3:::amzn-s3-demo-bucket",
                   "arn:aws:s3:::amzn-s3-demo-bucket/*"
               ]
           }
       ]
   }

2. Réinitialisez la liste ACL de votre compartiment à la liste ACL par défaut :

   aws s3api put-bucket-acl --bucket amzn-s3-demo-bucket --acl private

3. Appliquez le paramètre Propriétaire du compartiment appliqué pour Propriété d'objets