Consentire a Macie di accedere a bucket e oggetti S3

Quando abiliti Amazon Macie for your Account AWS, Macie crea un ruolo collegato al servizio che concede a Macie le autorizzazioni necessarie per chiamare Amazon Simple Storage Service (Amazon S3) Simple Storage Service (Amazon S3) e altro per tuo conto. Servizi AWS Un ruolo collegato al servizio semplifica il processo di configurazione di un ruolo Servizio AWS perché non è necessario aggiungere manualmente le autorizzazioni affinché il servizio completi le azioni per tuo conto. Per ulteriori informazioni su questo tipo di ruolo, consulta i IAMruoli nella Guida per l'utente.AWS Identity and Access Management

La politica di autorizzazione per il ruolo collegato al servizio Macie (AWSServiceRoleForAmazonMacie) consente a Macie di eseguire azioni che includono il recupero di informazioni sui bucket e sugli oggetti S3 e il recupero di oggetti dai bucket. Se sei l'amministratore Macie di un'organizzazione, la policy consente inoltre a Macie di eseguire queste azioni per tuo conto per gli account dei membri dell'organizzazione.

Macie utilizza queste autorizzazioni per eseguire attività come:

Nella maggior parte dei casi, Macie dispone delle autorizzazioni necessarie per eseguire queste attività. Tuttavia, se un bucket S3 ha una politica restrittiva sui bucket, la politica potrebbe impedire a Macie di eseguire alcune o tutte queste attività.

Una bucket policy è una policy basata sulle risorse AWS Identity and Access Management (IAM) che specifica quali azioni un principale (utente, account, servizio o altra entità) può eseguire su un bucket S3 e le condizioni in base alle quali un principale può eseguire tali azioni. Le azioni e le condizioni possono essere applicate a operazioni a livello di bucket, come il recupero di informazioni su un bucket, e a operazioni a livello di oggetto, come il recupero di oggetti da un bucket.

Le politiche del bucket in genere concedono o limitano l'accesso utilizzando dichiarazioni e condizioni esplicite o. Allow Deny Ad esempio, una policy bucket potrebbe contenere un'Denyistruzione Allow o che nega l'accesso al bucket a meno che non vengano utilizzati indirizzi IP di origine specifici, endpoint Amazon Virtual Private Cloud (AmazonVPC) o VPCs per accedere al bucket. Per informazioni sull'utilizzo delle policy dei bucket per concedere o limitare l'accesso ai bucket, consulta le politiche Bucket per Amazon S3 e Come Amazon S3 autorizza una richiesta nella Guida per l'utente di Amazon Simple Storage Service.

Se una policy bucket utilizza un'Allowistruzione esplicita, la policy non impedisce a Macie di recuperare informazioni sul bucket e sugli oggetti del bucket o di recuperare oggetti dal bucket. Questo perché le Allow istruzioni contenute nella politica delle autorizzazioni per il ruolo collegato al servizio Macie concedono queste autorizzazioni.

Tuttavia, se una policy sui bucket utilizza un'Denyistruzione esplicita con una o più condizioni, a Macie potrebbe non essere consentito recuperare informazioni sul bucket o sugli oggetti del bucket o recuperare gli oggetti del bucket. Ad esempio, se una policy bucket nega esplicitamente l'accesso da tutte le fonti tranne un indirizzo IP specifico, a Macie non sarà consentito analizzare gli oggetti del bucket quando si esegue un processo di rilevamento di dati sensibili. Questo perché le policy restrittive relative ai bucket hanno la precedenza sulle Allow dichiarazioni contenute nella politica di autorizzazione per il ruolo Macie collegato al servizio.

Per consentire a Macie di accedere a un bucket S3 con una politica restrittiva sui bucket, puoi aggiungere una condizione per il ruolo collegato al servizio Macie () alla policy del bucket. AWSServiceRoleForAmazonMacie La condizione può escludere che il ruolo collegato al servizio Macie corrisponda alla restrizione della policy. Deny Può farlo utilizzando la chiave di contesto della condizione aws:PrincipalArn globale e l'Amazon Resource Name (ARN) del ruolo collegato al servizio Macie.

La procedura seguente ti guida in questo processo e fornisce un esempio.

La posizione in cui lo aggiungi a una policy bucket dipende dalla struttura, dagli elementi e dalle condizioni attualmente contenuti nella policy. Per informazioni sulle strutture e gli elementi supportati, consulta Policies and permissions in Amazon S3 nella Amazon Simple Storage Service User Guide.

Di seguito è riportato un esempio di policy sui bucket che utilizza un'Denyistruzione esplicita per limitare l'accesso a un bucket S3 denominato. amzn-s3-demo-bucket Con la politica attuale, è possibile accedere al bucket solo dall'endpoint il VPC cui ID è. vpce-1a2b3c4d L'accesso da tutti gli altri VPC endpoint è negato, incluso l'accesso da e Macie. AWS Management Console

{
   "Version": "2012-10-17",
   "Id": "Policy1415115example",
   "Statement": [
      {
         "Sid": "Access only from specific VPCE",
         "Effect": "Deny",
         "Principal": "*",
         "Action": "s3:*",
         "Resource": [
            "arn:aws:s3:::amzn-s3-demo-bucket",
            "arn:aws:s3:::amzn-s3-demo-bucket/*"
         ],
         "Condition": {
            "StringNotEquals": {
               "aws:SourceVpce": "vpce-1a2b3c4d"
            }
         }
      }
   ]
}

Per modificare questa politica e consentire a Macie di accedere al bucket S3 e agli oggetti del bucket, possiamo aggiungere una condizione che utilizza l'operatore condition e la chiave global StringNotLike condition context. aws:PrincipalArn Questa condizione aggiuntiva esclude che il ruolo collegato al servizio Macie corrisponda alla restrizione. Deny

{
   "Version": "2012-10-17",
   "Id":" Policy1415115example ",
   "Statement": [
      {
         "Sid": "Access only from specific VPCE and Macie",
         "Effect": "Deny",
         "Principal": "*",
         "Action": "s3:*",
         "Resource": [
            "arn:aws:s3:::amzn-s3-demo-bucket",
            "arn:aws:s3:::amzn-s3-demo-bucket/*"
         ],
         "Condition": {
            "StringNotEquals": {
               "aws:SourceVpce": "vpce-1a2b3c4d"
            },
            "StringNotLike": {
               "aws:PrincipalArn": "arn:aws:iam::123456789012:role/aws-service-role/macie.amazonaws.com/AWSServiceRoleForAmazonMacie"
            }
         }
      }
   ]
}

Nell'esempio precedente, l'operatore StringNotLike condition utilizza la chiave aws:PrincipalArn condition context per specificare il ruolo collegato al servizio Macie, ARN dove:

Abbiamo usato l'StringNotLikeoperatore perché la politica utilizza già un operatore. StringNotEquals Una politica può utilizzare l'StringNotEqualsoperatore una sola volta.

Per ulteriori esempi di policy e informazioni dettagliate sulla gestione dell'accesso alle risorse di Amazon S3, consulta la sezione Gestione degli accessi nella Amazon Simple Storage Service User Guide.