Amazon S3 データアクセスを含む で AWS Data Exchange のデータ許可の作成

前提条件

• データをホストする Amazon S3 バケットが、Amazon S3 バケット所有者の強制設定がACLs無効な に設定されていることを確認します。詳細については、「Amazon Simple Storage Service ユーザーガイド」の「オブジェクトの所有権の制御」と「バケットACLsの無効化」を参照してください。

• 共有オブジェクトに受信者が正常にアクセスするには、共有オブジェクトが Amazon S3 Standard ストレージクラス内に存在するか、Amazon S3 Intelligent Tiering を使用して管理されている必要があります。共有オブジェクトが他のストレージクラス内に存在しているか、Intelligent Tiering を Deep Archive で有効にしている場合、レシーバーは RestoreObject への許可がないため、エラーが発生します。

• データをホストする Amazon S3 バケットで暗号化が無効になっているか、Amazon S3 マネージドキー (SSE-S3) またはカスタマーマネージドキーが AWS Key Management Service （AWS ) に保存されていることを確認しますKMS。

• カスタマー管理キーを使用している場合は、次のものが必要です。

  1. IAM KMSキーkms:CreateGrantに対する のアクセス許可。これらのアクセス許可には、キーポリシー、IAM認証情報、またはKMSキーの AWS KMS 許可を使用してアクセスできます。キー管理と AWS Data Exchange がAWSKMSグラントを使用する方法の詳細については、「」を参照してくださいAWS KMS 許可の作成。

     アクセス権限を付与するには、ユーザー、グループ、またはロールにアクセス許可を追加します。

     • のユーザーとグループ AWS IAM Identity Center：

       アクセス許可セットを作成します。「AWS IAM Identity Center ユーザーガイド」の「権限設定を作成する」の手順に従ってください。

     • ID プロバイダーIAMを介して で管理されるユーザー：

       ID フェデレーションのロールを作成します。IAM ユーザーガイドの「サードパーティー ID プロバイダーのロールの作成 (フェデレーション）」の指示に従います。

     • IAM ユーザー：

       • ユーザーが担当できるロールを作成します。「 ユーザーガイド」のIAM「ユーザーのロールを作成する」の手順に従います。 IAM

       • (お奨めできない方法) ポリシーをユーザーに直接アタッチするか、ユーザーをユーザーグループに追加する。IAM ユーザーガイドの「ユーザー (コンソール) へのアクセス許可を追加する」の手順に従います。

     ユーザーが の AWS 外部とやり取りする場合は、プログラムによるアクセスが必要です AWS Management Console。プログラムによるアクセスを許可する方法は、 にアクセスするユーザーのタイプによって異なります AWS。

     ユーザーにプログラマチックアクセス権を付与するには、以下のいずれかのオプションを選択します。

     プログラマチックアクセス権を必要とするユーザー	目的	方法
     ワークフォースアイデンティティ （IAMアイデンティティセンターで管理されるユーザー）	一時的な認証情報を使用して AWS CLI、 AWS SDKs、または へのプログラムによるリクエストに署名します AWS APIs。	使用するインターフェイス用の手引きに従ってください。 については AWS CLI、 AWS Command Line Interface ユーザーガイドの「 を使用する AWS CLI ように を設定する AWS IAM Identity Center」を参照してください。 AWS SDKs、ツール、および については AWS APIs、「 および ツールリファレンスガイド」のIAM「アイデンティティセンター認証」を参照してください。 AWS SDKs
     IAM	一時的な認証情報を使用して AWS CLI、 AWS SDKs、または へのプログラムによるリクエストに署名します AWS APIs。	IAM 「 ユーザーガイド」の「 AWS リソースで一時的な認証情報を使用する」の手順に従います。
     IAM	(非推奨) 長期認証情報を使用して、 AWS CLI、 AWS SDKsまたは へのプログラムによるリクエストに署名します AWS APIs。	使用するインターフェイス用の手引きに従ってください。 については AWS CLI、AWS Command Line Interface 「 ユーザーガイド」のIAM「ユーザー認証情報を使用した認証」を参照してください。 および ツールについては AWS SDKs、AWS SDKs「 および ツールリファレンスガイド」の「長期認証情報を使用した認証」を参照してください。 については AWS APIs、「 ユーザーガイド」のIAM「ユーザーのアクセスキーの管理」を参照してください。 IAM

     KMS キーのキーJSONポリシーに を追加する方法を示すポリシーの例を次に示します。

     
     {
           "Sid": "AllowCreateGrantPermission",
           "Effect": "Allow",
           "Principal": {
     "AWS": "<IAM identity who will call Dataexchange API>"             
           },
           "Action": "kms:CreateGrant",
           "Resource": "*"
     }
     

     次のポリシーは、使用される IAM ID のポリシー追加の例を示しています。

     
     {
         "Version": "2012-10-17",
         "Statement": [
             {
                 "Effect": "Allow",
                 "Sid": "AllowCreateGrantPermission",
                 "Action": [
                      "kms:CreateGrant
                 ],
                 "Resource": [
                   <Enter KMS Key ARNs in your account>                
                 ]
             }
         ]
     }
     

     注記

     クロスアカウントKMSキーは、前のステップでKMSキーに対するkms:CreateGrantアクセス許可を取得した場合にも許可されます。別のアカウントがキーを所有している場合は、上記の例で説明されているように、キーポリシーとIAM認証情報に対するアクセス許可が必要です。

  2. KMS キーを使用して、Amazon S3 バケットキー機能を使用して Amazon S3 バケット内の既存および新しいオブジェクトを暗号化してください。詳細については、Amazon Simple Storage Service ユーザーガイドの「S3 バケットキーの設定」を参照してください。

     • Amazon S3 バケットに追加された新しいオブジェクトについては、デフォルトで Amazon S3 バケットキー暗号化を設定できます。Amazon S3Bucket キー機能を使用せずに既存のオブジェクトを暗号化した場合、これらのオブジェクトは Amazon S3 バケットキーを使用して暗号化するように移行する必要があります。

       既存のオブジェクトの Amazon S3 バケットキーを有効にするには、copy オペレーションを使用します。詳細については、「バッチオペレーションを使用してオブジェクトレベルで Amazon S3 バケットキーを設定する」を参照してください。

     • AWS マネージドKMSキー または AWS 所有のキー はサポートされていません。サポートされていない暗号化スキームから現在サポートされている暗号化スキームに移行できます。詳細については、 AWS ストレージブログのAmazon S3暗号化の変更」を参照してください。

  3. データをホストする Amazon S3 バケットを信頼 AWS Data Exchange 所有アクセスポイントに設定します。これらの Amazon S3 バケットポリシーを更新してAmazon S3 アクセスポイントを作成し、ユーザーに代わってサブスクライバーのアクセスを許可または削除するための AWS Data Exchange アクセス許可を付与する必要があります。ポリシーステートメントがない場合は、バケットポリシーを編集して Amazon S3 ロケーションをデータセットに追加する必要があります。

     次にポリシーの例を示します。<Bucket ARN> を適切な値に置き換えてください。

     {
         "Version": "2012-10-17",
         "Statement": [
             {
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "*"
                 },
                 "Action": [
                     "s3:GetObject",
                     "s3:ListBucket"
                 ],
                 "Resource": [
                     "<Bucket ARN>",
                     "<Bucket ARN>/*"
                 ],
                 "Condition": {
                     "StringEquals": {
                         "s3:DataAccessPointAccount": [
                             "337040091392",
                             "504002150500",
                             "366362662752",
                             "330489627928",
                             "291973504423",
                             "461002523379",
                             "036905324694",
                             "540564263739",
                             "675969394711",
                             "108584782536",
                             "844053218156"
                         ]
                     }
                 }
             }
         ]
     }