Memfilter inventaris bucket S3 Anda dengan Amazon Macie

Untuk mengidentifikasi dan memfokuskan pada bucket yang memiliki karakteristik tertentu, Anda dapat memfilter inventaris bucket S3 Anda di konsol Amazon Macie dan kueri yang Anda kirimkan secara terprogram menggunakan API Amazon Macie. Ketika Anda membuat filter, Anda menggunakan atribut bucket tertentu untuk menentukan kriteria untuk menyertakan atau mengecualikan bucket dari tampilan atau dari hasil kueri. Atribut bucket adalah bidang yang menyimpan metadata tertentu untuk bucket.

Di Macie, filter terdiri atas syarat berjumlah satu atau lebih. Setiap syarat, juga disebut sebagai Kriteria, terdiri dari tiga bagian:

Cara Anda menentukan dan menerapkan syarat filter tergantung pada Anda yang menggunakan konsol Amazon Macie atau API Amazon Macie.

Memfilter inventaris Anda di konsol Amazon Macie

Jika Anda menggunakan konsol Amazon Macie untuk memfilter inventaris bucket S3, Macie menyediakan opsi untuk membantu Anda memilih bidang, operator, dan nilai untuk kondisi individual. Anda mengakses opsi ini dengan menggunakan kotak filter pada halaman bucket S3, seperti yang ditunjukkan pada gambar berikut.

Saat Anda menempatkan kursor di kotak filter, Macie menampilkan daftar bidang yang dapat Anda gunakan dalam kondisi filter. Bidang disusun berdasarkan kategori logis. Misalnya, kategori Common fields mencakup bidang yang menyimpan informasi umum tentang bucket S3. Kategori akses publik mencakup bidang yang menyimpan data tentang berbagai jenis pengaturan akses publik yang dapat diterapkan ke bucket. Bidang diurutkan menurut abjad dalam setiap kategori.

Untuk menambahkan syarat, mulailah dengan memilih bidang dari daftar. Untuk menemukan bidang, jelajahi daftar lengkap, atau memasukkan bagian dari nama bidang untuk mempersempit daftar bidang.

Tergantung pada bidang yang Anda pilih, Macie menampilkan opsi yang berbeda. Opsi mencerminkan tipe dan sifat bidang yang Anda pilih. Misalnya, jika Anda memilih bidang Akses bersama, Macie menampilkan daftar nilai untuk dipilih. Jika Anda memilih bidang nama Bucket, Macie menampilkan kotak teks di mana Anda dapat memasukkan nama bucket S3. Bidang mana pun yang Anda pilih, Macie memandu Anda melalui langkah-langkah untuk menambahkan syarat yang menyertakan pengaturan yang diperlukan untuk bidang tersebut.

Setelah Anda menambahkan kondisi, Macie menerapkan kriteria untuk kondisi dan menampilkan kondisi dalam token filter di bawah kotak filter, seperti yang ditunjukkan pada gambar berikut.

Di dalam contoh ini, syarat dikonfigurasi untuk menyertakan semua bucket yang dapat diakses secara publik, dan untuk mengecualikan semua bucket lainnya. Ini mengembalikan bucket di mana nilai untuk bidang izin Efektif sama dengan Publik.

Saat Anda menambahkan lebih banyak kondisi, Macie menerapkan kriteria mereka dan menampilkannya di bawah kotak filter. Jika Anda menambahkan beberapa syarat, Macie menggunakan logika AND untuk bergabung dengan syarat dan mengevaluasi kriteria filter. Ini berarti bahwa bucket S3 cocok dengan kriteria filter hanya jika cocok dengan semua kondisi dalam filter. Anda dapat merujuk ke area di bawah kotak filter kapan saja untuk menentukan kriteria mana yang telah Anda terapkan.

Memfilter inventaris Anda secara terprogram dengan API Amazon Macie

Untuk memfilter inventaris bucket S3 Anda secara terprogram, tentukan kriteria filter dalam kueri yang Anda kirimkan menggunakan DescribeBucketspengoperasian Amazon Macie API. Operasi ini mengembalikan susunan objek. Setiap objek berisi data statistik dan informasi lain tentang bucket yang cocok dengan kriteria filter.

Untuk menentukan kriteria filter dalam kueri, sertakan peta syarat filter dalam permintaan Anda. Untuk setiap syarat, tentukan bidang, operator, dan satu atau beberapa nilai untuk bidang tersebut. Tipe dan jumlah nilai tergantung pada bidang dan operator yang Anda pilih. Untuk informasi tentang bidang, operator, dan jenis nilai yang dapat Anda gunakan dalam suatu kondisi, lihat Sumber Data Amazon S3 di Referensi API Amazon Macie.

Contoh berikut menunjukkan kepada Anda cara menentukan kriteria filter dalam kueri yang Anda kirimkan menggunakan AWS Command Line Interface (AWS CLI). Anda juga dapat melakukan ini dengan menggunakan versi terbaru dari alat baris AWS perintah lain atau AWS SDK, atau dengan mengirim permintaan HTTPS langsung ke Macie. Untuk informasi tentang AWS alat dan SDK, lihat Alat untuk Dibangun AWS.

Contoh menggunakan perintah describe-buckets. Jika contoh berhasil berjalan, Macie mengembalikan susunan buckets. Array berisi objek untuk setiap bucket yang ada di saat ini Wilayah AWS dan cocok dengan kriteria filter. Untuk contoh output ini, perluas bagian berikut.

{
    "buckets": [
        {
            "accountId": "123456789012",
            "allowsUnencryptedObjectUploads": "FALSE",
            "automatedDiscoveryMonitoringStatus": "MONITORED", 
            "bucketArn": "arn:aws:s3:::DOC-EXAMPLE-BUCKET1",
            "bucketCreatedAt": "2020-05-18T19:54:00+00:00",
            "bucketName": "DOC-EXAMPLE-BUCKET1",
            "classifiableObjectCount": 13,
            "classifiableSizeInBytes": 1592088,
            "jobDetails": {
                "isDefinedInJob": "TRUE",
                "isMonitoredByJob": "TRUE",
                "lastJobId": "08c81dc4a2f3377fae45c9ddaexample",
                "lastJobRunTime": "2024-05-26T14:55:30.270000+00:00"
            },
            "lastAutomatedDiscoveryTime": "2024-06-07T19:11:25.364000+00:00",
            "lastUpdated": "2024-06-12T07:33:06.337000+00:00",
            "objectCount": 13,
            "objectCountByEncryptionType": {
                "customerManaged": 0,
                "kmsManaged": 2,
                "s3Managed": 7,
                "unencrypted": 4,
                "unknown": 0
            },
            "publicAccess": {
                "effectivePermission": "NOT_PUBLIC",
                "permissionConfiguration": {
                    "accountLevelPermissions": {
                        "blockPublicAccess": {
                            "blockPublicAcls": true,
                            "blockPublicPolicy": true,
                            "ignorePublicAcls": true,
                            "restrictPublicBuckets": true
                        }
                    },
                    "bucketLevelPermissions": {
                        "accessControlList": {
                            "allowsPublicReadAccess": false,
                            "allowsPublicWriteAccess": false
                        },
                        "blockPublicAccess": {
                            "blockPublicAcls": true,
                            "blockPublicPolicy": true,
                            "ignorePublicAcls": true,
                            "restrictPublicBuckets": true
                        },
                        "bucketPolicy": {
                            "allowsPublicReadAccess": false,
                            "allowsPublicWriteAccess": false
                        }
                    }
                }
            },
            "region": "us-east-1",
            "replicationDetails": {
                "replicated": false,
                "replicatedExternally": false,
                "replicationAccounts": []
            },
            "sensitivityScore": 78,
            "serverSideEncryption": {
                "kmsMasterKeyId": null,
                "type": "NONE"
            },
            "sharedAccess": "NOT_SHARED",
            "sizeInBytes": 4549746,
            "sizeInBytesCompressed": 0,
            "tags": [
                {
                    "key": "Division",
                    "value": "HR"
                },
                {
                    "key": "Team",
                    "value": "Recruiting"
                }
            ],
            "unclassifiableObjectCount": {
                "fileType": 0,
                "storageClass": 0,
                "total": 0
            },
            "unclassifiableObjectSizeInBytes": {
                "fileType": 0,
                "storageClass": 0,
                "total": 0
            },
            "versioning": true
        },
        {
            "accountId": "123456789012",
            "allowsUnencryptedObjectUploads": "TRUE",
            "automatedDiscoveryMonitoringStatus": "MONITORED",
            "bucketArn": "arn:aws:s3:::DOC-EXAMPLE-BUCKET2",
            "bucketCreatedAt": "2020-11-25T18:24:38+00:00",
            "bucketName": "DOC-EXAMPLE-BUCKET2",
            "classifiableObjectCount": 8,
            "classifiableSizeInBytes": 133810,
            "jobDetails": {
                "isDefinedInJob": "TRUE",
                "isMonitoredByJob": "FALSE",
                "lastJobId": "188d4f6044d621771ef7d65f2example",
                "lastJobRunTime": "2024-04-09T19:37:11.511000+00:00"
            },
            "lastAutomatedDiscoveryTime": "2024-06-07T19:11:25.364000+00:00",
            "lastUpdated": "2024-06-12T07:33:06.337000+00:00",
            "objectCount": 8,
            "objectCountByEncryptionType": {
                "customerManaged": 0,
                "kmsManaged": 0,
                "s3Managed": 8,
                "unencrypted": 0,
                "unknown": 0
            },
            "publicAccess": {
                "effectivePermission": "NOT_PUBLIC",
                "permissionConfiguration": {
                    "accountLevelPermissions": {
                        "blockPublicAccess": {
                            "blockPublicAcls": true,
                            "blockPublicPolicy": true,
                            "ignorePublicAcls": true,
                            "restrictPublicBuckets": true
                        }
                    },
                    "bucketLevelPermissions": {
                        "accessControlList": {
                            "allowsPublicReadAccess": false,
                            "allowsPublicWriteAccess": false
                        },
                        "blockPublicAccess": {
                            "blockPublicAcls": true,
                            "blockPublicPolicy": true,
                            "ignorePublicAcls": true,
                            "restrictPublicBuckets": true
                        },
                        "bucketPolicy": {
                            "allowsPublicReadAccess": false,
                            "allowsPublicWriteAccess": false
                        }
                    }
                }
            },
            "region": "us-east-1",
            "replicationDetails": {
                "replicated": false,
                "replicatedExternally": false,
                "replicationAccounts": []
            },
            "sensitivityScore": 95,
            "serverSideEncryption": {
                "kmsMasterKeyId": null,
                "type": "AES256"
            },
            "sharedAccess": "EXTERNAL",
            "sizeInBytes": 175978,
            "sizeInBytesCompressed": 0,
            "tags": [
                {
                    "key": "Division",
                    "value": "HR"
                },
                {
                    "key": "Team",
                    "value": "Recruiting"
                }
            ],
            "unclassifiableObjectCount": {
                "fileType": 3,
                "storageClass": 0,
                "total": 3
            },
            "unclassifiableObjectSizeInBytes": {
                "fileType": 2999826,
                "storageClass": 0,
                "total": 2999826
            },
            "versioning": true
        }
    ]
}

Jika tidak ada bucket yang cocok dengan kriteria filter, Macie mengembalikan array kosongbuckets.

{
    "buckets": []
}

Contoh 1: Temukan bucket berdasarkan nama bucket

Contoh ini menggunakan perintah deskripsi-buckets untuk menanyakan metadata untuk semua bucket yang namanya dimulai dengan my-S3 dan berada di saat ini. Wilayah AWS

Untuk Linux, macOS, atau Unix:

$ aws macie2 describe-buckets --criteria '{"bucketName":{"prefix":"my-S3"}}'

Untuk Microsoft Windows:

C:\> aws macie2 describe-buckets --criteria={\"bucketName\":{\"prefix\":\"my-S3\"}}

Dengan:

Contoh 2: Temukan bucket yang dapat diakses secara publik

Contoh ini menggunakan perintah deskripsi-buckets untuk menanyakan metadata untuk bucket yang ada saat ini Wilayah AWS dan, berdasarkan kombinasi setelan izin, dapat diakses publik.

Untuk Linux, macOS, atau Unix:

$ aws macie2 describe-buckets --criteria '{"publicAccess.effectivePermission":{"eq":["PUBLIC"]}}'

Untuk Microsoft Windows:

C:\> aws macie2 describe-buckets --criteria={\"publicAccess.effectivePermission\":{\"eq\":[\"PUBLIC\"]}}

Dengan:

Contoh 3: Temukan ember yang menyimpan objek yang tidak terenkripsi

Contoh ini menggunakan perintah deskripsi-buckets untuk menanyakan metadata untuk bucket yang ada di saat ini dan menyimpan objek yang tidak terenkripsi. Wilayah AWS

Untuk Linux, macOS, atau Unix:

$ aws macie2 describe-buckets --criteria '{"objectCountByEncryptionType.unencrypted":{"gte":1}}'

Untuk Microsoft Windows:

C:\> aws macie2 describe-buckets --criteria={\"objectCountByEncryptionType.unencrypted\":{\"gte\":1}}

Di mana:

Contoh 4: Temukan bucket yang tidak dipantau oleh tugas

Contoh ini menggunakan perintah deskripsi-buckets untuk menanyakan metadata untuk bucket yang ada saat ini Wilayah AWS dan tidak terkait dengan pekerjaan penemuan data sensitif berkala.

Untuk Linux, macOS, atau Unix:

$ aws macie2 describe-buckets --criteria '{"jobDetails.isMonitoredByJob":{"eq":["FALSE"]}}'

Untuk Microsoft Windows:

C:\> aws macie2 describe-buckets --criteria={\"jobDetails.isMonitoredByJob\":{\"eq\":[\"FALSE\"]}}

Di mana:

Contoh 5: Temukan bucket yang mereplikasi data ke akun eksternal

Contoh ini menggunakan perintah describe-buckets untuk menanyakan metadata untuk bucket yang ada saat ini Wilayah AWS dan dikonfigurasi untuk mereplikasi objek ke objek yang bukan bagian dari organisasi Akun AWS Anda.

Untuk Linux, macOS, atau Unix:

$ aws macie2 describe-buckets --criteria '{"replicationDetails.replicatedExternally":{"eq":["true"]}}'

Untuk Microsoft Windows:

C:\> aws macie2 describe-buckets --criteria={\"replicationDetails.replicatedExternally\":{\"eq\":[\"true\"]}}

Dengan:

Contoh 6: Temukan bucket berdasarkan beberapa kriteria

Contoh ini menggunakan perintah deskripsi-buckets untuk menanyakan metadata untuk bucket yang ada saat ini Wilayah AWS dan sesuai dengan kriteria berikut: dapat diakses publik berdasarkan kombinasi setelan izin; menyimpan objek yang tidak terenkripsi; dan tidak terkait dengan pekerjaan penemuan data sensitif berkala.

Untuk Linux, macOS, atau Unix, menggunakan karakter garis miring terbalik (\) untuk meningkatkan keterbacaan:

$ aws macie2 describe-buckets \
--criteria '{"publicAccess.effectivePermission":{"eq":["PUBLIC"]},"objectCountByEncryptionType.unencrypted":{"gte":1},"jobDetails.isMonitoredByJob":{"eq":["FALSE"]}}'

Untuk Microsoft Windows, menggunakan karakter kelanjutan baris tanda sisipan (^) untuk meningkatkan keterbacaan:

C:\> aws macie2 describe-buckets ^
--criteria={\"publicAccess.effectivePermission\":{\"eq\":[\"PUBLIC\"]},\"objectCountByEncryptionType.unencrypted\":{\"gte\":1},\"jobDetails.isMonitoredByJob\":{\"eq\":[\"FALSE\"]}}

Dengan: