Amazon S3 버킷에 대한 액세스 구성

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

여러 Amazon Bedrock 기능을 사용하려면 Amazon S3 버킷에 저장된 데이터에 액세스해야 합니다. 이 데이터에 액세스하려면 다음 권한을 구성해야 합니다.

위 권한을 연결해야 하는 자격 증명 또는 리소스는 다음 요인에 따라 달라집니다.

다음은 S3 데이터에 액세스하는 데 필요한 권한을 연결해야 하는 위치를 결정하는 방법을 설명합니다.

자세한 내용은 다음 링크를 참조하십시오.

사용 사례와 관련된 주제를 진행합니다.

Amazon S3 버킷에 액세스할 수 있도록 IAM 자격 증명에 권한 연결

이 주제에서는 정책이 IAM 자격 증명에 연결하기 위한 템플릿을 제공합니다. 이 정책에는 S3 버킷에 대한 IAM 자격 증명 액세스 권한을 부여하는 권한을 정의하는 다음 문이 포함되어 있습니다.

다음 정책의 문, 리소스 및 조건을 추가, 수정 및 제거하고 필요에 따라 ${values}를 바꿉니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ReadS3Bucket",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::${S3Bucket}",
                "arn:aws:s3:::${S3Bucket}/*"
            ]
        },
        {
            "Sid": "WriteToS3Bucket",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::${S3Bucket}",
                "arn:aws:s3:::${S3Bucket}/*"
            ]
        },
        {
            "Sid": "DecryptKMSKey",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:DescribeKey"
            ],
            "Resource": "arn:aws:kms:${Region}:${AccountId}:key/${KMSKeyId}"
        }
    ]
}

사용 사례에 맞게 정책을 수정한 후 S3 버킷에 액세스해야 하는 서비스 역할(또는 IAM 자격 증명)에 연결합니다. IAM 자격 증명에 권한을 연결하는 방법을 알아보려면 IAM 자격 증명 권한 추가 및 제거를 참조하세요.

다른 계정이 버킷에 액세스할 수 있도록 Amazon S3 버킷에 버킷 정책 연결

이 주제에서는 IAM 자격 증명이 버킷의 데이터에 액세스할 수 있도록 S3 버킷에 연결할 리소스 기반 정책에 대한 템플릿을 제공합니다. 이 정책에는 자격 증명이 버킷에 액세스할 수 있는 권한을 정의하는 다음 문이 포함되어 있습니다.

권한은에 설명된 자격 증명 기반 권한과 유사합니다Amazon S3 버킷에 액세스할 수 있도록 IAM 자격 증명에 권한 연결. 그러나 각 명령문에서는 Principal 필드의 리소스에 권한을 부여할 자격 증명을 지정해야 합니다. Principal 필드에 자격 증명(Amazon Bedrock의 대부분의 기능 포함, 서비스 역할)을 지정합니다. 다음 정책의 문, 리소스 및 조건을 추가, 수정 및 제거하고 필요에 따라 ${values}를 바꿉니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ReadS3Bucket",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::${AccountId}:role/${ServiceRole}"
            },        
            "Action": [
                "s3:GetObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::${S3Bucket}",
                "arn:aws:s3:::${S3Bucket}/*"
            ]
        },
        {
            "Sid": "WriteToS3Bucket",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::${AccountId}:role/${ServiceRole}"
            },        
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::${S3Bucket}",
                "arn:aws:s3:::${S3Bucket}/*"
            ]
        },
        {
            "Sid": "DecryptKMSKey",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::${AccountId}:role/${ServiceRole}"
            },        
            "Action": [
                "kms:Decrypt",
                "kms:DescribeKey"
            ],
            "Resource": "arn:aws:kms:${Region}:${AccountId}:key/${KMSKeyId}"
        }
    ]
}

정책을 사용 사례로 수정한 후 S3 버킷에 연결합니다. 버킷 정책을 S3 버킷에 연결하는 방법을 알아보려면 Amazon S3 콘솔을 사용하여 버킷 정책 추가를 참조하세요.

(고급 보안 옵션) 보다 세분화된 액세스를 위해 문에 조건 포함

리소스에 액세스할 수 있는 자격 증명을 더 잘 제어하려면 정책 설명에 조건을 포함할 수 있습니다. 이 주제의 정책은 다음 조건 키를 사용하는 예제를 제공합니다.

다음 정책은 amzn-s3-demo-bucket S3 버킷의 my-folder 폴더에 대한 읽기 액세스를 제한하고 amzn-s3-demo-destination-bucket S3 버킷에 대한 쓰기 액세스를 ID AWS 계정 가 111122223333인의 요청으로 제한합니다. S3

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ReadS3Bucket",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket",
                "arn:aws:s3:::amzn-s3-demo-bucket/*"
            ],
            "Condition" : {
                "StringEquals" : {
                    "s3:prefix": "my-folder" 
                }
            }
        },
        {
            "Sid": "WriteToS3Bucket",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-destination-bucket",
                "arn:aws:s3:::amzn-s3-demo-destination-bucket/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "111122223333"
                }
            }
        }
    ]
}

조건 및 조건 키에 대한 자세한 내용은 다음 링크를 참조하세요.