Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Politique relative aux compartiments Amazon S3 pour les résultats des requêtes CloudTrail Lake

Par défaut, les objets et les compartiments Amazon S3 sont privés. Seul le propriétaire de la ressource (le compte AWS qui a créé le compartiment) peut accéder au compartiment et aux objets qu’il contient. Le propriétaire de la ressource peut accorder des autorisations d’accès à d’autres ressources et à d’autres utilisateurs en créant une stratégie d’accès.

Pour transmettre les résultats d'une requête CloudTrail Lake à un compartiment S3, vous CloudTrail devez disposer des autorisations requises, et celui-ci ne peut pas être configuré en tant que compartiment Requester Pays.

CloudTrail ajoute les champs suivants dans la politique pour vous :

Comme bonne pratique en matière de sécurité, ajoutez une clé de condition aws:SourceArn à la politique de compartiment Amazon S3. La clé de condition IAM globale aws:SourceArn permet de garantir que les CloudTrail écritures dans le compartiment S3 ne concernent que le magasin de données d'événements.

La politique suivante permet de CloudTrail fournir des résultats de requête au bucket à partir de la version prise en charge Régions AWS. Remplacez amzn-s3-demo-bucket, myAccountID, et myQueryRunningRegion avec les valeurs appropriées à votre configuration. Le myAccountID est l'ID de AWS compte utilisé pour CloudTrail, qui peut être différent de l'ID de AWS compte pour le compartiment S3.

Politique de compartiment S3

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AWSCloudTrailLake1",
            "Effect": "Allow",
            "Principal": {"Service": "cloudtrail.amazonaws.com"},
            "Action": [
                "s3:PutObject*",
                "s3:Abort*"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket",
                "arn:aws:s3:::amzn-s3-demo-bucket/*"
            ],
            "Condition": {
                "StringLike": {
                    "aws:sourceAccount": "myAccountID",
                    "aws:sourceArn": "arn:aws:cloudtrail:myQueryRunningRegion:myAccountID:eventdatastore/*"
                }
            }     
        },
        {
            "Sid": "AWSCloudTrailLake2",
            "Effect": "Allow",
            "Principal": {"Service":"cloudtrail.amazonaws.com"},
            "Action": "s3:GetBucketAcl",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket",
            "Condition": {
                "StringLike": {
                    "aws:sourceAccount": "myAccountID",
                    "aws:sourceArn": "arn:aws:cloudtrail:myQueryRunningRegion:myAccountID:eventdatastore/*"
                }
            }
        }
    ]
}
    

Spécification d'un compartiment existant pour les résultats de la requête CloudTrail Lake

Si vous avez spécifié un compartiment S3 existant comme emplacement de stockage pour la livraison des résultats des requêtes CloudTrail Lake, vous devez attacher une politique au compartiment qui permet de CloudTrail fournir les résultats de la requête au compartiment.

Ressources supplémentaires

Pour plus d'informations sur les compartiments S3 et les politiques, consultez Utilisation des politiques de compartiments (Français non garanti) du Guide de l'utilisateur Amazon Simple Storage Service.