Cette page est réservée aux clients existants du service S3 Glacier utilisant Vaults et l'original REST API de 2012.

Si vous recherchez des solutions de stockage d'archives, nous vous conseillons d'utiliser les classes de stockage S3 Glacier dans Amazon S3, S3 Glacier Instant Retrieval, S3 Glacier Flexible Retrieval et S3 Glacier Deep Archive. Pour en savoir plus sur ces options de stockage, consultez les sections Classes de stockage S3 Glacier et Stockage de données à long terme à l'aide des classes de stockage S3 Glacier dans le guide de l'utilisateur Amazon S3. Ces classes de stockage utilisent Amazon S3API, sont disponibles dans toutes les régions et peuvent être gérées au sein de la console Amazon S3. Ils offrent des fonctionnalités telles que l'analyse des coûts de stockage, Storage Lens, des fonctionnalités de chiffrement optionnelles avancées, etc.

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Exemples de politiques basées sur l'identité pour Amazon S3 Glacier

Par défaut, les utilisateurs et les rôles ne disposent pas des autorisations nécessaires pour créer ou modifier des ressources S3 Glacier. Ils ne peuvent pas non plus effectuer de tâches en utilisant le AWS Management Console, AWS Command Line Interface (AWS CLI) ou AWS API. Pour autoriser les utilisateurs à effectuer des actions sur les ressources dont ils ont besoin, un IAM administrateur peut créer des IAM politiques. L'administrateur peut ensuite ajouter les IAM politiques aux rôles, et les utilisateurs peuvent assumer les rôles.

Pour savoir comment créer une politique IAM basée sur l'identité à l'aide de ces exemples de documents de JSON stratégie, voir Créer des IAM politiques (console) dans le guide de l'IAMutilisateur.

Pour plus de détails sur les actions et les types de ressources définis par S3 Glacier, y compris le ARNs format de chaque type de ressource, consultez la section Actions, ressources et clés de condition pour Amazon S3 Glacier dans la référence d'autorisation de service.

Voici un exemple de politique qui accorde des autorisations pour trois actions liées au coffre-fort S3 Glacier (glacier:CreateVault, glacier:DescribeVault etglacier:ListVaults) sur une ressource, en utilisant le nom de ressource Amazon (ARN) qui identifie tous les coffres-forts de la région. us-west-2 AWS ARNsidentifier les AWS ressources de manière unique. Pour plus d'informations sur l'ARNsutilisation avec S3 Glacier, consultezRessources de politique pour S3 Glacier.

      {
         "Version": "2012-10-17",
         "Statement": [
            {
               "Effect": "Allow",
               "Action": [
               "glacier:CreateVault",
               "glacier:DescribeVault",
               "glacier:ListVaults"
               ],
               "Resource": "arn:aws:glacier:us-west-2:123456789012:vaults/*"
            }
         ]
      }

La stratégie accorde des autorisations permettant de créer, de répertorier et d'obtenir des descriptions des coffres dans la région us-west-2. Le caractère générique (*) à la fin du ARN signifie que cette instruction peut correspondre à n'importe quel nom de coffre.

Bonnes pratiques en matière de politiques

Les politiques basées sur l'identité déterminent si une personne peut créer, consulter ou supprimer les ressources S3 Glacier de votre compte. Ces actions peuvent entraîner des frais pour votre Compte AWS. Lorsque vous créez ou modifiez des politiques basées sur l’identité, suivez ces instructions et recommandations :

Pour plus d'informations sur les meilleures pratiques en matière de sécuritéIAM, consultez la section Bonnes pratiques en matière de sécurité IAM dans le Guide de IAM l'utilisateur.

Utilisation de la console S3 Glacier

Pour accéder à la console Amazon S3 Glacier, vous devez disposer d'un ensemble minimum d'autorisations. Ces autorisations doivent vous permettre d'afficher et d'examiner les informations relatives aux ressources S3 Glacier de votre Compte AWS. Si vous créez une politique basée sur l’identité qui est plus restrictive que l’ensemble minimum d’autorisations requis, la console ne fonctionnera pas comme prévu pour les entités (utilisateurs ou rôles) tributaires de cette politique.

Il n'est pas nécessaire d'accorder des autorisations de console minimales aux utilisateurs qui appellent uniquement le AWS CLI ou le AWS API. Au lieu de cela, autorisez uniquement l'accès aux actions correspondant à l'APIopération qu'ils tentent d'effectuer.

La console S3 Glacier propose un environnement intégré qui vous permet de créer et de gérer des coffres S3 Glacier. Les IAM identités que vous créez doivent au minimum être autorisées à accéder à la console S3 Glacier pour que l'glacier:ListVaultsaction puisse consulter la console S3 Glacier, comme indiqué dans l'exemple suivant.

         {
               "Version": "2012-10-17",
               "Statement": [
                  {
                     "Action": [
                     "glacier:ListVaults"     
                     ],
                     "Effect": "Allow",
                     "Resource": "*"
                  }
               ]
            }

AWS répond à de nombreux cas d'utilisation courants en fournissant des IAM politiques autonomes créées et administrées par AWS. Les politiques gérées octroient les autorisations requises dans les cas d’utilisation courants et vous évitent d’avoir à réfléchir aux autorisations qui sont requises. Pour plus d'informations, consultez la section Politiques AWS gérées dans le guide de IAM l'utilisateur.

Les politiques AWS gérées suivantes, que vous pouvez associer aux utilisateurs de votre compte, sont spécifiques à S3 Glacier :

Vous pouvez également créer vos propres IAM politiques personnalisées pour autoriser les API actions et les ressources de S3 Glacier. Vous pouvez associer ces politiques personnalisées aux IAM rôles personnalisés que vous créez pour vos coffres-forts S3 Glacier.

Les deux politiques AWS gérées par S3 Glacier décrites dans la section suivante accordent des autorisations pourglacier:ListVaults.

Pour plus d'informations, consultez la section Ajouter des autorisations à un utilisateur dans le Guide de IAM l'utilisateur.

Autorisation accordée aux utilisateurs pour afficher leurs propres autorisations

Cet exemple montre comment créer une politique qui permet aux IAM utilisateurs de consulter les politiques intégrées et gérées associées à leur identité d'utilisateur. Cette politique inclut les autorisations permettant d'effectuer cette action sur la console ou par programmation à l'aide du AWS CLI ou. AWS API

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Exemples de politiques gérées par le client

Dans cette section, vous trouverez des exemples de politiques utilisateur qui accordent des autorisations pour diverses actions S3 Glacier. Ces politiques fonctionnent lorsque vous utilisez S3 Glacier RESTAPI, AmazonSDKs, ou AWS CLI, le cas échéant, la console de gestion S3 Glacier.

Exemple 1 : Permettre à un utilisateur de télécharger les archives d'un coffre

Pour télécharger une archive, vous devez d'abord lancer une tâche d'extraction de l'archive. Une fois la tâche d'extraction terminée, vous pouvez télécharger les données. L'exemple de stratégie suivant octroie des autorisations pour l'action glacier:InitiateJob de lancement d'une tâche (ce qui permet à l'utilisateur d'extraire du coffre une archive ou un inventaire de coffre) et des autorisations pour l'action glacier:GetJobOutput pour télécharger les données extraites. La stratégie accorde également des autorisations permettant d'effectuer l'action glacier:DescribeJob afin que l'utilisateur puisse obtenir l'état de la tâche. Pour de plus amples informations, veuillez consulter Initier une tâche (POSToffres d'emploi).

La stratégie accorde ces autorisations sur un coffre nommé examplevault. Vous pouvez obtenir le coffre ARN depuis la console Amazon S3 Glacier ou par programmation en appelant le Description de coffre (GET vault) ou les Affichage des coffres (GET vaults) API actions.

{
               "Version":"2012-10-17",
               "Statement": [
                  {
                     "Effect": "Allow",
                     "Resource": "arn:aws:glacier:us-west-2:123456789012:vaults/examplevault",
                     "Action":["glacier:InitiateJob",
                              "glacier:GetJobOutput",
                              "glacier:DescribeJob"] 
                  }
               ]
               }

Exemple 2 : Permettre à un utilisateur de créer un coffre et de configurer des notifications

L'exemple de politique suivant octroie les autorisations nécessaires pour créer un coffre dans la région us-west-2, comme indiqué dans l'élément Resource, et pour configurer des notifications. Pour plus d'informations sur l'utilisation des notifications, consultez la page Configuration des notifications de coffre dans Amazon S3 Glacier. La politique accorde également l'autorisation de répertorier les coffres-forts de la AWS région et d'obtenir une description spécifique du coffre-fort.

{
               "Version":"2012-10-17",
               "Statement": [
                  {
                     "Effect": "Allow",
                     "Resource": "arn:aws:glacier:us-west-2:123456789012:vaults/*",
                     "Action":["glacier:CreateVault",
                              "glacier:SetVaultNotifications",
                              "glacier:GetVaultNotifications",
                              "glacier:DeleteVaultNotifications",
                              "glacier:DescribeVault",
                              "glacier:ListVaults"] 
                  }
               ]
               }

Exemple 3 : Permettre à un utilisateur de charger des Archives dans un coffre spécifique

L'exemple de politique suivant octroie les autorisations nécessaires pour charger les archives sur un coffre spécifique de la région us-west-2. Ces autorisations permettent à un utilisateur de télécharger une archive en une seule fois en utilisant l'Chargement d'archive (POST archive)APIopération ou en partie à l'aide de l'Lancement de chargement partitionné (POST multipart-uploads)APIopération.

{
               "Version":"2012-10-17",
               "Statement": [
                  {
                     "Effect": "Allow",
                     "Resource": "arn:aws:glacier:us-west-2:123456789012:vaults/examplevault",
                     "Action":["glacier:UploadArchive",
                              "glacier:InitiateMultipartUpload",
                              "glacier:UploadMultipartPart",
                              "glacier:ListParts",
                              "glacier:ListMultipartUploads",
                              "glacier:CompleteMultipartUpload"] 
                  }
               ]
               }

Exemple 4 : Octroyer des autorisations complètes à un utilisateur pour un coffre spécifique

L'exemple de politique suivant octroie des autorisations pour toutes les actions S3 Glacier sur un coffre nommé examplevault.

{
            "Version":"2012-10-17",
            "Statement": [
               {
                  "Effect": "Allow",
                  "Resource": "arn:aws:glacier:us-west-2:123456789012:vaults/examplevault",
                  "Action":["glacier:*"] 
               }
            ]
            }