Izin untuk Bucket Amazon S3 untuk AWS Config Saluran Pengiriman

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Bucket dan objek Amazon S3 bersifat pribadi secara default. Hanya Akun AWS yang membuat bucket (pemilik sumber daya) yang memiliki izin akses. Pemilik sumber daya dapat memberikan akses ke sumber daya dan pengguna lain dengan membuat kebijakan akses.

Saat AWS Config secara otomatis membuat bucket S3 untuk Anda, ia menambahkan izin yang diperlukan. Namun, jika Anda menentukan bucket S3 yang ada, Anda harus menambahkan izin ini secara manual.

Izin yang Diperlukan untuk Bucket Amazon S3 Saat Menggunakan Peran IAM

AWS Config menggunakan peran IAM yang Anda tetapkan ke perekam konfigurasi untuk mengirimkan riwayat konfigurasi dan snapshot ke bucket S3 di akun Anda. Untuk pengiriman lintas akun, upaya AWS Config pertama untuk menggunakan peran IAM yang ditetapkan. Jika kebijakan bucket tidak memberikan WRITE akses ke peran IAM, AWS Config gunakan prinsip config.amazonaws.com layanan. Kebijakan bucket harus memberikan WRITE akses config.amazonaws.com untuk menyelesaikan pengiriman. Setelah pengiriman berhasil, AWS Config pertahankan kepemilikan semua objek yang dikirimkan ke bucket S3 lintas akun.

AWS Config memanggil Amazon S3 HeadBucketAPI dengan peran IAM yang Anda tetapkan ke perekam konfigurasi untuk mengonfirmasi apakah bucket S3 ada dan lokasinya. Jika Anda tidak memiliki izin yang diperlukan AWS Config untuk mengonfirmasi, Anda akan melihat AccessDenied kesalahan di AWS CloudTrail log Anda. Namun, masih AWS Config dapat mengirimkan riwayat konfigurasi dan snapshot meskipun AWS Config tidak memiliki izin yang diperlukan untuk mengonfirmasi apakah bucket S3 ada dan lokasinya.

Izin yang Diperlukan untuk Bucket Amazon S3 Saat Menggunakan Peran Tertaut Layanan

Peran AWS Config terkait layanan tidak memiliki izin untuk menempatkan objek ke bucket Amazon S3. Jika Anda mengatur AWS Config menggunakan peran terkait layanan, AWS Config akan menggunakan prinsip config.amazonaws.com layanan untuk memberikan riwayat konfigurasi dan snapshot. Kebijakan bucket S3 di akun atau tujuan lintas akun Anda harus menyertakan izin bagi prinsipal AWS Config layanan untuk menulis objek.

Memberikan AWS Config akses ke Amazon S3 Bucket

Selesaikan langkah-langkah berikut yang memungkinkan AWS Config untuk mengirimkan riwayat konfigurasi dan snapshot ke bucket Amazon S3.

AWS:SourceAccountKondisi membatasi AWS Config operasi untuk ditentukan Akun AWS. Untuk konfigurasi multi-akun dalam organisasi yang mengirimkan ke satu bucket S3, gunakan peran IAM dengan kunci AWS Organizations kondisi, bukan peran terkait layanan. Misalnya, AWS:PrincipalOrgID. Untuk informasi selengkapnya, lihat Mengelola izin akses untuk organisasi di Panduan AWS Organizations pengguna.

AWS:SourceArnKondisi ini membatasi AWS Config operasi ke saluran pengiriman tertentu. AWS:SourceArnFormatnya adalah sebagai berikut:arn:aws:config:sourceRegion:123456789012.

Misalnya, untuk membatasi akses bucket S3 ke saluran pengiriman di Wilayah AS Timur (Virginia N.) untuk akun 123456789012, tambahkan kondisi berikut:

"ArnLike": {"AWS:SourceArn": "arn:aws:config:us-east-1:123456789012:"}

Izin yang Diperlukan untuk Bucket Amazon S3 Saat Mengirimkan Lintas Akun

Bila AWS Config dikonfigurasi untuk mengirimkan riwayat konfigurasi dan snapshot ke bucket Amazon S3 di akun lain (penyiapan lintas akun), di mana perekam konfigurasi dan bucket S3 yang ditentukan untuk saluran pengiriman Akun AWS berbeda, izin berikut diperlukan:

Berikut ini adalah contoh konfigurasi kebijakan bucket:

{
      "Sid": "AWSConfigBucketExistenceCheck",
      "Effect": "Allow",
      "Principal": {
        "Service": "config.amazonaws.com",
        "AWS": "IAM Role-Arn assigned to the configuartion recorder"
      },
      "Action": "s3:ListBucket",
      "Resource": "arn:aws:s3:::amzn-s3-demo-bucket",
      "Condition": {
        "StringEquals": {
          "AWS:SourceAccount": "sourceAccountID"
        }
      }
}