Autoriser Macie à accéder aux compartiments et aux objets S3

Lorsque vous activez Amazon Macie pour votre compte Compte AWS, Macie crée un rôle lié à un service qui lui accorde les autorisations nécessaires pour appeler Amazon Simple Storage Service (Amazon S3) et d'autres personnes en votre nom. Services AWS Un rôle lié à un service simplifie le processus de configuration Service AWS car vous n'avez pas à ajouter manuellement des autorisations pour que le service puisse effectuer des actions en votre nom. Pour en savoir plus sur ce type de rôle, consultez la section sur IAMles rôles dans le Guide de AWS Identity and Access Management l'utilisateur.

La politique d'autorisation pour le rôle lié au service Macie (AWSServiceRoleForAmazonMacie) permet à Macie d'effectuer des actions qui incluent la récupération d'informations sur vos compartiments et objets S3, ainsi que la récupération d'objets de vos compartiments. Si vous êtes l'administrateur Macie d'une organisation, la politique permet également à Macie d'effectuer ces actions en votre nom pour les comptes des membres de votre organisation.

Macie utilise ces autorisations pour effectuer des tâches telles que :

Dans la plupart des cas, Macie dispose des autorisations nécessaires pour effectuer ces tâches. Toutefois, si un compartiment S3 possède une politique de compartiment restrictive, cette politique peut empêcher Macie d'effectuer certaines ou toutes ces tâches.

Une politique de compartiment est une politique basée sur les ressources AWS Identity and Access Management (IAM) qui spécifie les actions qu'un principal (utilisateur, compte, service ou autre entité) peut effectuer sur un compartiment S3, ainsi que les conditions dans lesquelles un principal peut effectuer ces actions. Les actions et conditions peuvent s'appliquer aux opérations au niveau du compartiment, telles que la récupération d'informations sur un compartiment, et aux opérations au niveau des objets, telles que la récupération d'objets d'un compartiment.

Les politiques relatives aux compartiments accordent ou restreignent généralement l'accès en utilisant Deny des déclarations et des conditions explicitesAllow. Par exemple, une politique de compartiment peut contenir une Deny déclaration Allow or qui refuse l'accès au compartiment, sauf si des adresses IP source spécifiques, des points de terminaison Amazon Virtual Private Cloud (AmazonVPC) VPCs sont utilisés pour accéder au compartiment. Pour plus d'informations sur l'utilisation des politiques relatives aux compartiments pour accorder ou restreindre l'accès aux compartiments, consultez les sections Politiques relatives aux compartiments pour Amazon S3 et Comment Amazon S3 autorise une demande dans le guide de l'utilisateur d'Amazon Simple Storage Service.

Si une politique de compartiment utilise une Allow déclaration explicite, elle n'empêche pas Macie de récupérer des informations sur le compartiment et les objets du compartiment, ou de récupérer des objets du compartiment. Cela est dû au fait que les Allow instructions de la politique d'autorisation pour le rôle lié au service Macie accordent ces autorisations.

Toutefois, si une politique de compartiment utilise une Deny déclaration explicite assortie d'une ou plusieurs conditions, Macie peut ne pas être autorisée à récupérer des informations sur le compartiment ou les objets du compartiment, ou à récupérer les objets du compartiment. Par exemple, si une politique de bucket refuse explicitement l'accès à toutes les sources à l'exception d'une adresse IP spécifique, Macie ne sera pas autorisé à analyser les objets du bucket lorsque vous exécutez une tâche de découverte de données sensibles. Cela est dû au fait que les politiques de compartiment restrictives ont priorité sur les Allow instructions de la politique d'autorisation pour le rôle lié au service Macie.

Pour permettre à Macie d'accéder à un compartiment S3 doté d'une politique de compartiment restrictive, vous pouvez ajouter une condition pour le rôle lié au service Macie (AWSServiceRoleForAmazonMacie) à la politique de compartiment. La condition peut empêcher le rôle lié au service Macie de correspondre à la Deny restriction de la politique. Il peut le faire en utilisant la clé de contexte de condition aws:PrincipalArn globale et le nom de ressource Amazon (ARN) du rôle lié au service Macie.

La procédure suivante vous guide tout au long de ce processus et fournit un exemple.

L'endroit où vous l'ajoutez à une politique de compartiment dépend de la structure, des éléments et des conditions que la politique contient actuellement. Pour en savoir plus sur les structures et les éléments pris en charge, consultez la section Politiques et autorisations dans Amazon S3 dans le guide de l'utilisateur d'Amazon Simple Storage Service.

Voici un exemple de politique de compartiment qui utilise une Deny instruction explicite pour restreindre l'accès à un compartiment S3 nomméamzn-s3-demo-bucket. Avec la politique actuelle, le bucket n'est accessible qu'à partir du VPC point de terminaison dont l'ID estvpce-1a2b3c4d. L'accès depuis tous les autres VPC terminaux est refusé, y compris l'accès depuis Macie AWS Management Console et Macie.

{
   "Version": "2012-10-17",
   "Id": "Policy1415115example",
   "Statement": [
      {
         "Sid": "Access only from specific VPCE",
         "Effect": "Deny",
         "Principal": "*",
         "Action": "s3:*",
         "Resource": [
            "arn:aws:s3:::amzn-s3-demo-bucket",
            "arn:aws:s3:::amzn-s3-demo-bucket/*"
         ],
         "Condition": {
            "StringNotEquals": {
               "aws:SourceVpce": "vpce-1a2b3c4d"
            }
         }
      }
   ]
}

Pour modifier cette politique et permettre à Macie d'accéder au compartiment S3 et aux objets du compartiment, nous pouvons ajouter une condition qui utilise l'opérateur de StringNotLike condition et la clé de contexte de condition aws:PrincipalArn globale. Cette condition supplémentaire empêche le rôle lié au service Macie de correspondre à la restriction. Deny

{
   "Version": "2012-10-17",
   "Id":" Policy1415115example ",
   "Statement": [
      {
         "Sid": "Access only from specific VPCE and Macie",
         "Effect": "Deny",
         "Principal": "*",
         "Action": "s3:*",
         "Resource": [
            "arn:aws:s3:::amzn-s3-demo-bucket",
            "arn:aws:s3:::amzn-s3-demo-bucket/*"
         ],
         "Condition": {
            "StringNotEquals": {
               "aws:SourceVpce": "vpce-1a2b3c4d"
            },
            "StringNotLike": {
               "aws:PrincipalArn": "arn:aws:iam::123456789012:role/aws-service-role/macie.amazonaws.com/AWSServiceRoleForAmazonMacie"
            }
         }
      }
   ]
}

Dans l'exemple précédent, l'opérateur de StringNotLike condition utilise la clé de contexte ARN de aws:PrincipalArn condition pour spécifier le rôle lié au service Macie, où :

Nous avons utilisé l'StringNotLikeopérateur parce que la politique utilise déjà un StringNotEquals opérateur. Une politique ne peut utiliser l'StringNotEqualsopérateur qu'une seule fois.

Pour des exemples de politiques supplémentaires et des informations détaillées sur la gestion de l'accès aux ressources Amazon S3, consultez la section Gestion des accès dans le guide de l'utilisateur d'Amazon Simple Storage Service.