Membuat hibah data yang AWS Data Exchange berisi akses data Amazon S3

Prasyarat

• Konfirmasikan bahwa bucket Amazon S3 yang menghosting data dikonfigurasi dengan pengaturan yang diberlakukan pemilik bucket Amazon S3 diaktifkan Dinonaktifkan. ACLs Untuk informasi selengkapnya, lihat Mengontrol kepemilikan objek dan menonaktifkan ACLs bucket Anda di Panduan Pengguna Layanan Penyimpanan Sederhana Amazon.

• Objek bersama Anda harus berada di kelas Penyimpanan Standar Amazon S3, atau dikelola menggunakan Amazon S3 Intelligent Tiering, agar penerima berhasil mengaksesnya. Jika mereka berada di kelas penyimpanan lain, atau jika Anda telah mengaktifkan Intelligent Tiering dengan Deep Archive, penerima Anda akan mendapatkan kesalahan karena mereka tidak akan memiliki izin untuk melakukannya. RestoreObject

• Konfirmasikan bahwa bucket Amazon S3 yang menghosting data telah menonaktifkan enkripsi atau dienkripsi dengan kunci terkelola Amazon S3 SSE (-S3) atau kunci terkelola pelanggan yang disimpan di (). AWS Key Management Service AWS KMS

• Jika Anda menggunakan kunci yang dikelola pelanggan, Anda harus memiliki yang berikut:

  1. IAMizin untuk kms:CreateGrant pada KMS kunci. Anda dapat mengakses izin ini melalui kebijakan kunci, IAM kredensional, atau melalui AWS KMS hibah pada kunci. KMS Untuk informasi selengkapnya tentang manajemen kunci dan memahami cara AWS Data Exchange menggunakan AWS KMS hibah, lihatMembuat AWS KMS hibah.

     Untuk memberikan akses, menambahkan izin ke pengguna, grup, atau peran Anda:

     • Pengguna dan grup di AWS IAM Identity Center:

       Buat rangkaian izin. Ikuti instruksi di Buat rangkaian izin di Panduan Pengguna AWS IAM Identity Center .

     • Pengguna yang dikelola IAM melalui penyedia identitas:

       Buat peran untuk federasi identitas. Ikuti petunjuk dalam Membuat peran untuk penyedia identitas pihak ketiga (federasi) di Panduan IAM Pengguna.

     • IAMpengguna:

       • Buat peran yang dapat diambil pengguna Anda. Ikuti petunjuk dalam Membuat peran bagi IAM pengguna di Panduan IAM Pengguna.

       • (Tidak disarankan) Pasang kebijakan langsung ke pengguna atau tambahkan pengguna ke grup pengguna. Ikuti petunjuk di Menambahkan izin ke pengguna (konsol) di Panduan IAM Pengguna.

     Pengguna membutuhkan akses terprogram jika mereka ingin berinteraksi dengan AWS luar. AWS Management Console Cara untuk memberikan akses terprogram tergantung pada jenis pengguna yang mengakses AWS.

     Untuk memberi pengguna akses programatis, pilih salah satu opsi berikut.

     Pengguna mana yang membutuhkan akses programatis?	Untuk	Oleh
     Identitas tenaga kerja (Pengguna dikelola di Pusat IAM Identitas)	Gunakan kredensi sementara untuk menandatangani permintaan terprogram ke AWS CLI,, AWS SDKs atau. AWS APIs	Mengikuti petunjuk untuk antarmuka yang ingin Anda gunakan. Untuk AWS CLI, lihat Mengkonfigurasi yang akan AWS CLI digunakan AWS IAM Identity Center dalam Panduan AWS Command Line Interface Pengguna. Untuk AWS SDKs, alat, dan AWS APIs, lihat otentikasi Pusat IAM Identitas di Panduan Referensi Alat AWS SDKs dan Alat.
     IAM	Gunakan kredensi sementara untuk menandatangani permintaan terprogram ke AWS CLI,, AWS SDKs atau. AWS APIs	Mengikuti petunjuk dalam Menggunakan kredensil sementara dengan AWS sumber daya di IAMPanduan Pengguna.
     IAM	(Tidak direkomendasikan) Gunakan kredensi jangka panjang untuk menandatangani permintaan terprogram ke AWS CLI,, AWS SDKs atau. AWS APIs	Mengikuti petunjuk untuk antarmuka yang ingin Anda gunakan. Untuk mengetahui AWS CLI, lihat Mengautentikasi menggunakan kredensil IAM pengguna di Panduan Pengguna.AWS Command Line Interface Untuk AWS SDKs dan alat, lihat Mengautentikasi menggunakan kredensil jangka panjang di Panduan Referensi Alat AWS SDKs dan Alat. Untuk AWS APIs, lihat Mengelola kunci akses untuk IAM pengguna di Panduan IAM Pengguna.

     Berikut ini adalah contoh JSON kebijakan yang menunjukkan bagaimana Anda dapat menambahkan ke kebijakan kunci KMS kunci.

     
     {
           "Sid": "AllowCreateGrantPermission",
           "Effect": "Allow",
           "Principal": {
     "AWS": "<IAM identity who will call Dataexchange API>"             
           },
           "Action": "kms:CreateGrant",
           "Resource": "*"
     }
     

     Kebijakan berikut menunjukkan contoh penambahan kebijakan untuk IAM identitas yang digunakan.

     
     {
         "Version": "2012-10-17",
         "Statement": [
             {
                 "Effect": "Allow",
                 "Sid": "AllowCreateGrantPermission",
                 "Action": [
                      "kms:CreateGrant
                 ],
                 "Resource": [
                   <Enter KMS Key ARNs in your account>                
                 ]
             }
         ]
     }
     

     catatan

     KMSKunci lintas akun juga diizinkan jika kms:CreateGrant izin pada KMS kunci diperoleh melalui langkah sebelumnya. Jika akun lain memiliki kunci, Anda harus memiliki izin pada kebijakan kunci dan IAM kredensional Anda seperti yang dijelaskan dalam contoh di atas.

  2. Pastikan untuk menggunakan KMS kunci untuk mengenkripsi objek yang ada dan yang baru di bucket Amazon S3 menggunakan fitur kunci bucket Amazon S3. Untuk detail selengkapnya, lihat Mengonfigurasi Kunci Bucket S3 di Panduan Pengguna Layanan Penyimpanan Sederhana Amazon.

     • Untuk objek baru yang ditambahkan ke bucket Amazon S3, Anda dapat mengatur enkripsi kunci bucket Amazon S3 secara default. Jika objek yang ada telah dienkripsi tanpa menggunakan fitur kunci Amazon S3Bucket, objek ini harus dimigrasikan untuk menggunakan kunci bucket Amazon S3 untuk enkripsi.

       Untuk mengaktifkan kunci bucket Amazon S3 untuk objek yang ada, gunakan operasi. copy Untuk informasi selengkapnya, lihat Mengonfigurasi kunci bucket Amazon S3 di tingkat objek menggunakan operasi batch.

     • AWS KMSkunci terkelola atau Kunci milik AWS tidak didukung. Anda dapat bermigrasi dari skema enkripsi yang tidak didukung ke skema yang saat ini didukung. Untuk informasi selengkapnya, lihat Mengubah enkripsi Amazon S3 Anda di Blog AWS Penyimpanan.

  3. Setel bucket Amazon S3 yang menghosting data untuk mempercayai titik akses yang AWS Data Exchange dimiliki. Anda harus memperbarui kebijakan bucket Amazon S3 ini untuk memberikan AWS Data Exchange izin untuk membuat jalur akses Amazon S3 dan memberikan atau menghapus akses pelanggan atas nama Anda. Jika pernyataan kebijakan tidak ada, Anda harus mengedit kebijakan bucket untuk menambahkan lokasi Amazon S3 ke kumpulan data Anda.

     Contoh kebijakan ditunjukkan di bawah ini. Ganti <Bucket ARN> dengan nilai yang sesuai.

     {
         "Version": "2012-10-17",
         "Statement": [
             {
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "*"
                 },
                 "Action": [
                     "s3:GetObject",
                     "s3:ListBucket"
                 ],
                 "Resource": [
                     "<Bucket ARN>",
                     "<Bucket ARN>/*"
                 ],
                 "Condition": {
                     "StringEquals": {
                         "s3:DataAccessPointAccount": [
                             "337040091392",
                             "504002150500",
                             "366362662752",
                             "330489627928",
                             "291973504423",
                             "461002523379",
                             "036905324694",
                             "540564263739",
                             "675969394711",
                             "108584782536",
                             "844053218156"
                         ]
                     }
                 }
             }
         ]
     }