Questa pagina è riservata ai clienti esistenti del servizio S3 Glacier che utilizzano Vaults e l'originale del 2012. REST API

Se stai cercando soluzioni di archiviazione, ti consigliamo di utilizzare le classi di storage S3 Glacier in Amazon S3, S3 Glacier Instant Retrieval, S3 Glacier Flexible Retrieval e S3 Glacier Deep Archive. Per ulteriori informazioni su queste opzioni di storage, consulta le classi di storage S3 Glacier e lo storage dei dati a lungo termine con le classi di storage S3 Glacier nella Amazon S3 User Guide. Queste classi di storage utilizzano Amazon S3API, sono disponibili in tutte le regioni e possono essere gestite all'interno della console Amazon S3. Offrono funzionalità come Storage Cost Analysis, Storage Lens, funzionalità di crittografia opzionali avanzate e altro ancora.

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Esempi di policy basate su identità per Amazon S3 Glacier

Per impostazione predefinita, gli utenti e i ruoli non dispongono dell'autorizzazione per creare o modificare risorse S3 Glacier. Inoltre, non possono eseguire attività utilizzando AWS Management Console, AWS Command Line Interface (AWS CLI) o. AWS API Per concedere agli utenti il permesso di eseguire azioni sulle risorse di cui hanno bisogno, un IAM amministratore può creare IAM policy. L'amministratore può quindi aggiungere le IAM politiche ai ruoli e gli utenti possono assumerli.

Per informazioni su come creare una politica IAM basata sull'identità utilizzando questi documenti di esempio, consulta Create JSON IAM policy (console) nella Guida per l'IAMutente.

Per dettagli sulle azioni e sui tipi di risorse definiti da S3 Glacier, incluso il formato di ARNs per ogni tipo di risorsa, consulta Azioni, risorse e chiavi di condizione per Amazon S3 Glacier nel Service Authorization Reference.

Di seguito è riportato un esempio di policy che concede le autorizzazioni per tre azioni relative al vault S3 Glacier (glacier:DescribeVaulte) glacier:ListVaults su una risorsaglacier:CreateVault, utilizzando Amazon Resource Name (ARN) che identifica tutti i vault nella regione. us-west-2 AWS ARNs AWS identifica in modo univoco le risorse. Per ulteriori informazioni sull'ARNsutilizzo con S3 Glacier, consulta. Risorse di policy per S3 Glacier

      {
         "Version": "2012-10-17",
         "Statement": [
            {
               "Effect": "Allow",
               "Action": [
               "glacier:CreateVault",
               "glacier:DescribeVault",
               "glacier:ListVaults"
               ],
               "Resource": "arn:aws:glacier:us-west-2:123456789012:vaults/*"
            }
         ]
      }

La policy concede autorizzazioni per creare, elencare e ottenere descrizioni di vault nella regione us-west-2. Il carattere jolly (*) alla fine della ARN indica che questa istruzione può corrispondere a qualsiasi nome del vault.

Best practice per le policy

Le policy basate su identità determinano se qualcuno può creare, accedere o eliminare risorse S3 Glacier nel tuo account. Queste azioni possono comportare costi aggiuntivi per l' Account AWS. Quando crei o modifichi policy basate su identità, segui queste linee guida e raccomandazioni:

Per ulteriori informazioni sulle best practice inIAM, consulta la sezione Procedure consigliate in materia di sicurezza IAM nella Guida IAM per l'utente.

Utilizzo della console S3 Glacier

Per accedere alla console Amazon S3 Glacier, è necessario disporre di un set di autorizzazioni minimo. Queste autorizzazioni devono consentire di elencare e visualizzare i dettagli relativi alle risorse S3 Glacier nel tuo Account AWS. Se crei una policy basata sull'identità più restrittiva rispetto alle autorizzazioni minime richieste, la console non funzionerà nel modo previsto per le entità (utenti o ruoli) associate a tale policy.

Non è necessario concedere autorizzazioni minime per la console agli utenti che effettuano chiamate solo verso il AWS CLI o il AWS API. Consenti invece l'accesso solo alle azioni che corrispondono all'APIoperazione che stanno cercando di eseguire.

La console S3 Glacier fornisce un ambiente integrato per creare e gestire vault di S3 Glacier. Alle IAM identità create devono essere concesse almeno le autorizzazioni per l'glacier:ListVaultsazione di visualizzazione della console S3 Glacier, come mostrato nell'esempio seguente.

         {
               "Version": "2012-10-17",
               "Statement": [
                  {
                     "Action": [
                     "glacier:ListVaults"     
                     ],
                     "Effect": "Allow",
                     "Resource": "*"
                  }
               ]
            }

AWS affronta molti casi d'uso comuni fornendo IAM policy autonome create e amministrate da. AWS Le policy gestite concedono le autorizzazioni necessarie per i casi di utilizzo comune in modo da non dover cercare quali sono le autorizzazioni richieste. Per ulteriori informazioni, vedere AWS Managed Policies nella Guida per l'IAMutente.

Le seguenti politiche AWS gestite, che puoi allegare agli utenti del tuo account, sono specifiche di S3 Glacier:

Puoi anche creare IAM policy personalizzate per concedere le autorizzazioni per le azioni e le risorse di S3 Glacier. API Puoi allegare queste politiche personalizzate ai IAM ruoli personalizzati che crei per i tuoi vault S3 Glacier.

Entrambe le policy AWS gestite da S3 Glacier discusse nella sezione successiva concedono autorizzazioni per. glacier:ListVaults

Per ulteriori informazioni, consulta Aggiungere autorizzazioni a un utente nella Guida per l'utente. IAM

Consentire agli utenti di visualizzare le loro autorizzazioni

Questo esempio mostra come è possibile creare una politica che consenta IAM agli utenti di visualizzare le politiche in linea e gestite allegate alla loro identità utente. Questa politica include le autorizzazioni per completare questa azione sulla console o utilizzando o a livello di codice. AWS CLI AWS API

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Esempi di policy gestite dal cliente

Questa sezione include policy utente di esempio che concedono autorizzazioni per diverse azioni S3 Glacier. Queste policy funzionano quando utilizzi S3 Glacier REST APISDKs, Amazon, o, se applicabile AWS CLI, la console di gestione S3 Glacier.

Esempio 1: consentire a un utente di scaricare archivi da un vault

Per scaricare un archivio, devi dapprima avviare un processo per recuperare l'archivio. Quando il processo è completato, puoi scaricare i dati. L'esempio di policy che segue concede autorizzazioni per l'operazione di avvio di un processo glacier:InitiateJob (che consente all'utente di recuperare un archivio o un inventario vault dal vault) e autorizzazioni per l'operazione di download di dati recuperati glacier:GetJobOutput. La policy concede inoltre autorizzazioni per l'esecuzione dell'operazione glacier:DescribeJob di modo che l'utente possa ottenere lo stato del processo. Per ulteriori informazioni, consulta Initiate Job (offerte di POST lavoro).

La policy concede tali autorizzazioni su un vault denominato examplevault. Puoi scaricare il vault ARN dalla console Amazon S3 Glacier o programmaticamente chiamando o le azioni. Describe Vault (GET vault) List Vaults (GET vaults) API

{
               "Version":"2012-10-17",
               "Statement": [
                  {
                     "Effect": "Allow",
                     "Resource": "arn:aws:glacier:us-west-2:123456789012:vaults/examplevault",
                     "Action":["glacier:InitiateJob",
                              "glacier:GetJobOutput",
                              "glacier:DescribeJob"] 
                  }
               ]
               }

Esempio 2: consentire a un utente di creare un vault e di configurare le notifiche

L'esempio di policy seguente concede autorizzazioni per creare una vault nella regione us-west-2 come specificato nell'elemento Resource e per configurare le notifiche. Per ulteriori informazioni sull'utilizzo delle notifiche, consulta Configurazione delle notifiche di vault in Amazon S3 Glacier. La policy concede anche le autorizzazioni per elencare gli archivi nella regione e ottenere una descrizione specifica del vault. AWS

{
               "Version":"2012-10-17",
               "Statement": [
                  {
                     "Effect": "Allow",
                     "Resource": "arn:aws:glacier:us-west-2:123456789012:vaults/*",
                     "Action":["glacier:CreateVault",
                              "glacier:SetVaultNotifications",
                              "glacier:GetVaultNotifications",
                              "glacier:DeleteVaultNotifications",
                              "glacier:DescribeVault",
                              "glacier:ListVaults"] 
                  }
               ]
               }

Esempio 3: consentire a un utente di caricare archivi in un determinato vault

L'esempio di policy seguente concede autorizzazioni per caricare archivi in una determinata vault nella regione us-west-2. Queste autorizzazioni consentono a un utente di caricare un archivio tutto in una volta utilizzando l'Upload Archive (POST archive)APIoperazione o in parti utilizzando l'operazione. Initiate Multipart Upload (POST multipart-uploads) API

{
               "Version":"2012-10-17",
               "Statement": [
                  {
                     "Effect": "Allow",
                     "Resource": "arn:aws:glacier:us-west-2:123456789012:vaults/examplevault",
                     "Action":["glacier:UploadArchive",
                              "glacier:InitiateMultipartUpload",
                              "glacier:UploadMultipartPart",
                              "glacier:ListParts",
                              "glacier:ListMultipartUploads",
                              "glacier:CompleteMultipartUpload"] 
                  }
               ]
               }

Esempio 4: concedere autorizzazioni complete a un utente su un determinato vault

L'esempio di policy seguente concede autorizzazioni per tutte le azioni di S3 Glacier su una vault denominata examplevault.

{
            "Version":"2012-10-17",
            "Statement": [
               {
                  "Effect": "Allow",
                  "Resource": "arn:aws:glacier:us-west-2:123456789012:vaults/examplevault",
                  "Action":["glacier:*"] 
               }
            ]
            }