Concessione dell'accesso per SRT

Per gestire le autorizzazioni per SRT

1. Nella pagina Panoramica della AWS Shield console, in Configura AWS SRT supporto, scegli Modifica SRT accesso. Viene visualizzata la pagina di accesso a Edit AWS Shield Response Team (SRT).

2. Per SRTl'impostazione dell'accesso, selezionate una delle opzioni:

   • Non concedere l'SRTaccesso al mio account: Shield rimuove tutte le autorizzazioni che hai concesso in precedenza per accedere SRT al tuo account e alle tue risorse.

   • Crea un nuovo ruolo per accedere SRT al mio account: Shield crea un ruolo che si fida del responsabile del serviziodrt.shield.amazonaws.com, che rappresenta ilSRT, e gli AWSShieldDRTAccessPolicy allega la politica gestita. La politica gestita consente di SRT effettuare AWS Shield Advanced AWS WAF API chiamate per tuo conto e di accedere ai tuoi AWS WAF registri. Per ulteriori informazioni sulla policy gestita, consulta AWS politica gestita: AWSShieldDRTAccessPolicy.

   • Scegli un ruolo esistente per accedere SRT ai miei account: per questa opzione, devi modificare la configurazione del ruolo in AWS Identity and Access Management (IAM) come segue:

     • Collegare la policy gestita AWSShieldDRTAccessPolicy al ruolo. Questa politica gestita consente SRT di effettuare AWS Shield Advanced AWS WAF API chiamate per tuo conto e di accedere ai tuoi AWS WAF registri. Per ulteriori informazioni sulla policy gestita, consulta AWS politica gestita: AWSShieldDRTAccessPolicy. Per informazioni su come allegare la politica gestita al proprio ruolo, vedere Allegare e scollegare le politiche. IAM

     • Modificare il ruolo per considerare attendibile il principale del servizio drt.shield.amazonaws.com. Questo è il principale del servizio che rappresenta il. SRT Per ulteriori informazioni, vedere Elementi IAM JSON politici: Principal.

3. Per (facoltativo): concedi SRT l'accesso a un bucket Amazon S3, se devi condividere dati che non si trovano nei tuoi ACL log AWS WAF web, configuralo. Ad esempio, i log di accesso di Application Load Balancer, i log di Amazon o CloudFront i log provenienti da fonti di terze parti.

   Nota

   Non è necessario eseguire questa operazione per i log Web. AWS WAF ACL Ha accesso SRT a quelli quando concedi l'accesso al tuo account.

   1. Configura i bucket Amazon S3 in base alle seguenti linee guida:

      • Le posizioni dei bucket devono essere le Account AWS stesse a cui hai concesso l'accesso SRT generale, nel passaggio precedente AWS Shield Response Team (SRT).

      • I bucket possono essere in testo semplice o crittografati con -S3. SSE Per ulteriori informazioni sulla crittografia Amazon S3 SSE -S3, consulta Protezione dei dati utilizzando la crittografia lato server con chiavi di crittografia gestite da Amazon S3 (-S3) nella Guida per l'utente di Amazon S3. SSE

        SRTNon possono visualizzare o elaborare i log archiviati in bucket crittografati con chiavi archiviate in (). AWS Key Management Service AWS KMS

   2. Nella sezione Shield Advanced (opzionale): concedi SRT l'accesso a un bucket Amazon S3, per ogni bucket Amazon S3 in cui sono archiviati i dati o i log, inserisci il nome del bucket e scegli Aggiungi bucket. È possibile aggiungere fino a 10 bucket.

      Ciò concede le seguenti autorizzazioni per ogni SRT bucket:, e. s3:GetBucketLocation s3:GetObject s3:ListBucket

      Se desideri concedere l'SRTautorizzazione ad accedere a più di 10 bucket, puoi farlo modificando le politiche aggiuntive dei bucket e concedendo manualmente le autorizzazioni elencate qui per. SRT

      Di seguito viene mostrato un elenco di politiche di esempio.

      {
          "Sid": "AWSDDoSResponseTeamAccessS3Bucket",
          "Effect": "Allow",
          "Principal": {
              "Service": "drt.shield.amazonaws.com"
          },
          "Action": [
              "s3:GetBucketLocation",
              "s3:GetObject",
              "s3:ListBucket"
          ],
          "Resource": [
              "arn:aws:s3:::bucket-name",
              "arn:aws:s3:::bucket-name/*"
          ]
      } 

4. Scegliere Salva per salvare le modifiche.