Conditions préalables à la désactivation ACLs

Pour consulter les ACL autorisations d'un bucket

1. Connectez-vous à la console Amazon S3 AWS Management Console et ouvrez-la à l'adresse https://console.aws.amazon.com/s3/.

2. Dans la liste Compartiments, sélectionnez le nom de votre compartiment.

3. Choisissez l’onglet Permissions (Autorisations).

4. Sous Liste de contrôle d'accès (ACL), passez en revue ACL les autorisations de votre bucket.

Pour vérifier les ACL autorisations d'un objet

1. Connectez-vous à la console Amazon S3 AWS Management Console et ouvrez-la à l'adresse https://console.aws.amazon.com/s3/.

2. Dans la liste Buckets (Compartiments), choisissez le nom du compartiment qui contient votre objet.

3. Dans la liste Objets, choisissez le nom de votre objet.

4. Choisissez l’onglet Permissions (Autorisations).

5. Sous Liste de contrôle d'accès (ACL), vérifiez les ACL autorisations de vos objets.

Pour migrer ACL les autorisations et mettre à jour votre compartiment ACL

1. Connectez-vous à la console Amazon S3 AWS Management Console et ouvrez-la à l'adresse https://console.aws.amazon.com/s3/.

2. Dans la liste Compartiments, sélectionnez le nom de votre compartiment.

3. Dans l'onglet Permissions (Autorisations), sous Bucket Policy (Stratégie de compartiment), choisissez Edit (Modifier).

4. Dans la boîte Policy (Stratégie), ajoutez ou mettez à jour la stratégie de compartiment.

   Si vous souhaitez consulter des exemples de politiques de compartiment, consultez Exemples de stratégies de compartiment et Exemples de démonstrations.

5. Sélectionnez Enregistrer les modifications.

6. Mettez à jour votre compartiment ACL pour supprimer les ACL subventions accordées à d'autres groupes ou Comptes AWS.

7. Appliquez le paramètre Propriétaire du compartiment appliqué pour Propriété d'objets.

1. Pour retourner le seau ACL à votre seau, utilisez le get-bucket-acl AWS CLI commande :

   aws s3api get-bucket-acl --bucket amzn-s3-demo-bucket

   Par exemple, ce compartiment ACL accorde WRITE un READ accès à un compte tiers. Dans ce ACL cas, le compte tiers est identifié par l'ID utilisateur canonique. Pour appliquer le paramètre imposé par le propriétaire du bucket et le désactiverACLs, vous devez migrer ces autorisations pour le compte tiers vers une politique de bucket.

   {
       "Owner": {
           "DisplayName": "DOC-EXAMPLE-ACCOUNT-OWNER",
           "ID": "852b113e7a2f25102679df27bb0ae12b3f85be6BucketOwnerCanonicalUserID"
       },
       "Grants": [
           {
               "Grantee": {
                   "DisplayName": "DOC-EXAMPLE-ACCOUNT-OWNER",
                   "ID": "852b113e7a2f25102679df27bb0ae12b3f85be6BucketOwnerCanonicalUserID",
                   "Type": "CanonicalUser"
               },
               "Permission": "FULL_CONTROL"
           },
           {
               "Grantee": {
                   "DisplayName": "THIRD-PARTY-EXAMPLE-ACCOUNT",
                   "ID": "72806de9d1ae8b171cca9e2494a8d1335dfced4ThirdPartyAccountCanonicalUserID",
                   "Type": "CanonicalUser"
               },
               "Permission": "READ"
           },
           {
               "Grantee": {
                   "DisplayName": "THIRD-PARTY-EXAMPLE-ACCOUNT",
                   "ID": "72806de9d1ae8b171cca9e2494a8d1335dfced4ThirdPartyAccountCanonicalUserID",
                   "Type": "CanonicalUser"
               },
               "Permission": "WRITE"
           }
       ]
   }

   Pour un autre exempleACLs, voirExemples de démonstrations.

2. Migrez ACL les autorisations de votre bucket vers une politique de bucket :

   Cet exemple de stratégie de compartiment accorde des autorisations s3:PutObject et s3:ListBucket pour un compte tiers. Dans la politique du compartiment, le compte tiers est identifié par l' Compte AWS ID (111122223333).

   aws s3api put-bucket-policy --bucket amzn-s3-demo-bucket --policy file://policy.json
   
   policy.json:
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "PolicyForCrossAccountAllowUpload",
               "Effect": "Allow",
               "Principal": {
                   "AWS": [
                       "arn:aws:iam::111122223333:root"
                   ]
               },
               "Action": [
                   "s3:PutObject",
                   "s3:ListBucket"
               ],
               "Resource": [
               	"arn:aws:s3:::amzn-s3-demo-bucket",
               	"arn:aws:s3:::amzn-s3-demo-bucket/*"
           }
       ]
   }

   Si vous souhaitez consulter d'autres exemples de politiques de compartiment, consultez Exemples de stratégies de compartiment et Exemples de démonstrations.

3. Pour renvoyer le ACL pour un objet spécifique, utilisez le get-object-acl AWS CLI commande.

   aws s3api get-object-acl --bucket amzn-s3-demo-bucket --key EXAMPLE-OBJECT-KEY

4. Si nécessaire, migrez ACL les autorisations des objets vers votre politique de compartiment.

   Cet exemple d'élément de ressource accorde l'accès à un objet spécifique dans une stratégie de compartiment.

   "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/EXAMPLE-OBJECT-KEY"

5. Réinitialisez le paramètre par défaut ACL pour votre compartimentACL.

   aws s3api put-bucket-acl --bucket amzn-s3-demo-bucket --acl private

6. Appliquez le paramètre Propriétaire du compartiment appliqué pour Propriété d'objets

Pour migrer ACL les autorisations de compartiment pour le groupe de mise à disposition de journaux S3 vers le principal du service de journalisation dans une politique de compartiment

1. Ajoutez la politique de compartiment suivante à votre compartiment de destination, en remplaçant les exemples de valeurs.

   aws s3api put-bucket-policy --bucket amzn-s3-demo-bucket --policy file://policy.json
   
   policy.json:						{
       {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "S3ServerAccessLogsPolicy",
               "Effect": "Allow",
               "Principal": {
                   "Service": "logging.s3.amazonaws.com"
               },
               "Action": [
                   "s3:PutObject"
               ],
               "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/EXAMPLE-LOGGING-PREFIX*",
               "Condition": {
                   "ArnLike": {
                       "aws:SourceArn": "arn:aws:s3:::SOURCE-BUCKET-NAME"
                   },
                   "StringEquals": {
                       "aws:SourceAccount": "SOURCE-AWS-ACCOUNT-ID"
                   }
               }
           }
       ]
   }							

2. Rétablissez ACL la valeur par défaut de votre compartiment de destinationACL.

   aws s3api put-bucket-acl --bucket amzn-s3-demo-bucket --acl private

3. Appliquez le paramètre Propriétaire du compartiment appliqué pour Propriété d’objets à votre compartiment de destination.

Pour migrer les ACL autorisations de lecture publiques vers une politique de compartiment

1. Pour accorder un accès public en lecture à tous les objets de votre compartiment, ajoutez la stratégie de compartiment suivante, en remplaçant les exemples de valeurs.

   aws s3api put-bucket-policy --bucket amzn-s3-demo-bucket --policy file://policy.json
   
   policy.json:
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "PublicReadGetObject",
               "Effect": "Allow",
               "Principal": "*",
               "Action": [
                   "s3:GetObject"
               ],
               "Resource": [
                   "arn:aws:s3:::amzn-s3-demo-bucket/*"
               ]
           }
       ]
   }

   Pour accorder l'accès public à un objet spécifique dans une stratégie de compartiment, utilisez le format suivant pour l'élément Resource.

   "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/OBJECT-KEY"

   Pour accorder l'accès public à tous les objets avec un préfixe spécifique, utilisez le format suivant pour l'élément Resource.

   "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/PREFIX/*"

2. Appliquez le paramètre Propriétaire du compartiment appliqué pour Propriété d'objets

Pour migrer ACL les autorisations de compartiment pour ElastiCache (RedisOSS) vers une politique de compartiment

1. Ajoutez la stratégie de compartiment suivante à votre compartiment, en remplaçant les exemples de valeurs.

   aws s3api put-bucket-policy --bucket amzn-s3-demo-bucket --policy file://policy.json
   
   policy.json:
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "Stmt15399483",
               "Effect": "Allow",
               "Principal": {
                   "Service": "Region.elasticache-snapshot.amazonaws.com"
               },
               "Action": [
                   "s3:PutObject",
                   "s3:GetObject",
                   "s3:ListBucket",
                   "s3:GetBucketAcl",
                   "s3:ListMultipartUploadParts",
                   "s3:ListBucketMultipartUploads"
               ],
               "Resource": [
                   "arn:aws:s3:::amzn-s3-demo-bucket",
                   "arn:aws:s3:::amzn-s3-demo-bucket/*"
               ]
           }
       ]
   }

2. Rétablissez ACL les valeurs par défaut de votre compartiment ACL :

   aws s3api put-bucket-acl --bucket amzn-s3-demo-bucket --acl private

3. Appliquez le paramètre Propriétaire du compartiment appliqué pour Propriété d'objets