Pré-requisitos para desabilitar ACLs

Como revisar as permissões de ACL de um bucket

1. Faça login no AWS Management Console e abra o console do Amazon S3 em https://console.aws.amazon.com/s3/.

2. Na lista Buckets (Buckets), escolha o nome do bucket.

3. Escolha a aba Permissões.

4. Em Access control list (ACL) (Lista de controle de acesso [ACL]), revise suas permissões de ACL de bucket.

Como revisar as permissões de ACL de um objeto

1. Faça login no AWS Management Console e abra o console do Amazon S3 em https://console.aws.amazon.com/s3/.

2. Na lista Buckets, escolha o nome do bucket que contém o objeto.

3. Na lista Objects (Objetos), escolha o nome do objeto.

4. Escolha a aba Permissões.

5. Em Access control list (ACL) (Lista de controle de acesso [ACL]), revise suas permissões de ACL de objeto.

Para migrar permissões de ACL e atualizar a ACL de bucket

1. Faça login no AWS Management Console e abra o console do Amazon S3 em https://console.aws.amazon.com/s3/.

2. Na lista Buckets (Buckets), escolha o nome do bucket.

3. Na guia Permissions (Permissões), escolha Bucket policy (Política de bucket), Edit (Editar).

4. Na caixa Policy (Política), adicione ou atualize a política de bucket.

   Para obter exemplos de políticas de bucket, consulte Exemplos de políticas de bucket e Demonstrações de exemplo.

5. Escolha Salvar alterações.

6. Atualize sua ACL de bucket para remover concessões de ACL para outros grupos ou Contas da AWS.

7. Adote a configuração Imposto pelo proprietário do bucket em Propriedade de objeto.

1. Para retornar a ACL para o bucket, use o comando get-bucket-acl da AWS CLI:

   aws s3api get-bucket-acl --bucket amzn-s3-demo-bucket

   Por exemplo, essa ACL de bucket concede acesso WRITE e READ a uma conta de terceiros. Nessa ACL, a conta de terceiros é identificada pelo ID de usuário canônico. Para adotar a configuração Imposto pelo proprietário do bucket e desabilitar ACLs, é necessário migrar essas permissões à conta de terceiros para uma política de bucket.

   {
       "Owner": {
           "DisplayName": "DOC-EXAMPLE-ACCOUNT-OWNER",
           "ID": "852b113e7a2f25102679df27bb0ae12b3f85be6BucketOwnerCanonicalUserID"
       },
       "Grants": [
           {
               "Grantee": {
                   "DisplayName": "DOC-EXAMPLE-ACCOUNT-OWNER",
                   "ID": "852b113e7a2f25102679df27bb0ae12b3f85be6BucketOwnerCanonicalUserID",
                   "Type": "CanonicalUser"
               },
               "Permission": "FULL_CONTROL"
           },
           {
               "Grantee": {
                   "DisplayName": "THIRD-PARTY-EXAMPLE-ACCOUNT",
                   "ID": "72806de9d1ae8b171cca9e2494a8d1335dfced4ThirdPartyAccountCanonicalUserID",
                   "Type": "CanonicalUser"
               },
               "Permission": "READ"
           },
           {
               "Grantee": {
                   "DisplayName": "THIRD-PARTY-EXAMPLE-ACCOUNT",
                   "ID": "72806de9d1ae8b171cca9e2494a8d1335dfced4ThirdPartyAccountCanonicalUserID",
                   "Type": "CanonicalUser"
               },
               "Permission": "WRITE"
           }
       ]
   }

   Para ver outros exemplos de ACL, consulte Demonstrações de exemplo.

2. Migre suas permissões de ACL de bucket para uma política de bucket:

   Este exemplo de política de bucket concede as permissões s3:PutObject e s3:ListBucket para uma conta de terceiros. Na política de bucket, a conta de terceiros é identificada pelo ID da Conta da AWS (111122223333).

   aws s3api put-bucket-policy --bucket amzn-s3-demo-bucket --policy file://policy.json
   
   policy.json:
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "PolicyForCrossAccountAllowUpload",
               "Effect": "Allow",
               "Principal": {
                   "AWS": [
                       "arn:aws:iam::111122223333:root"
                   ]
               },
               "Action": [
                   "s3:PutObject",
                   "s3:ListBucket"
               ],
               "Resource": [
               	"arn:aws:s3:::amzn-s3-demo-bucket",
               	"arn:aws:s3:::amzn-s3-demo-bucket/*"
           }
       ]
   }

   Para obter mais exemplos de políticas de bucket, consulte Exemplos de políticas de bucket e Demonstrações de exemplo.

3. Para retornar a ACL para um objeto específico, use o comando get-object-acl da AWS CLI.

   aws s3api get-object-acl --bucket amzn-s3-demo-bucket --key EXAMPLE-OBJECT-KEY

4. Se necessário, migre as permissões de ACL de objeto para a política de bucket.

   Esse elemento de recurso de exemplo concede acesso a um objeto específico em uma política de bucket.

   "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/EXAMPLE-OBJECT-KEY"

5. Redefina a ACL de bucket para a ACL padrão.

   aws s3api put-bucket-acl --bucket amzn-s3-demo-bucket --acl private

6. Adote a configuração Imposto pelo proprietário do bucket em Propriedade de objeto.

Para migrar permissões de ACL de bucket para o grupo de entrega de log do S3 para a entidade principal do serviço de log em uma política de bucket

1. Adicione a política de bucket a seguir ao bucket de destino, substituindo os valores de exemplo.

   aws s3api put-bucket-policy --bucket amzn-s3-demo-bucket --policy file://policy.json
   
   policy.json:						{
       {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "S3ServerAccessLogsPolicy",
               "Effect": "Allow",
               "Principal": {
                   "Service": "logging.s3.amazonaws.com"
               },
               "Action": [
                   "s3:PutObject"
               ],
               "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/EXAMPLE-LOGGING-PREFIX*",
               "Condition": {
                   "ArnLike": {
                       "aws:SourceArn": "arn:aws:s3:::SOURCE-BUCKET-NAME"
                   },
                   "StringEquals": {
                       "aws:SourceAccount": "SOURCE-AWS-ACCOUNT-ID"
                   }
               }
           }
       ]
   }							

2. Redefina a ACL do bucket de destino para a ACL padrão.

   aws s3api put-bucket-acl --bucket amzn-s3-demo-bucket --acl private

3. Aplique a configuração Imposto pelo proprietário do bucket para a Propriedade de Objetos no bucket de destino.

Para migrar permissões públicas de ACL de leitura para uma política de bucket

1. Para conceder acesso público de leitura a todos os objetos do bucket, adicione a política de bucket a seguir, substituindo os valores de exemplo.

   aws s3api put-bucket-policy --bucket amzn-s3-demo-bucket --policy file://policy.json
   
   policy.json:
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "PublicReadGetObject",
               "Effect": "Allow",
               "Principal": "*",
               "Action": [
                   "s3:GetObject"
               ],
               "Resource": [
                   "arn:aws:s3:::amzn-s3-demo-bucket/*"
               ]
           }
       ]
   }

   Para conceder acesso público a um objeto específico de uma política de bucket, use o seguinte formato para o elemento Resource.

   "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/OBJECT-KEY"

   Para conceder acesso público a todos os objetos com um prefixo específico, use o seguinte formato para o elemento Resource.

   "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/PREFIX/*"

2. Adote a configuração Imposto pelo proprietário do bucket em Propriedade de objeto.

Como migrar permissões de ACL de bucket ao ElastiCache (Redis OSS) para uma política de bucket

1. Adicione a política de bucket a seguir ao bucket, substituindo os valores de exemplo.

   aws s3api put-bucket-policy --bucket amzn-s3-demo-bucket --policy file://policy.json
   
   policy.json:
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "Stmt15399483",
               "Effect": "Allow",
               "Principal": {
                   "Service": "Region.elasticache-snapshot.amazonaws.com"
               },
               "Action": [
                   "s3:PutObject",
                   "s3:GetObject",
                   "s3:ListBucket",
                   "s3:GetBucketAcl",
                   "s3:ListMultipartUploadParts",
                   "s3:ListBucketMultipartUploads"
               ],
               "Resource": [
                   "arn:aws:s3:::amzn-s3-demo-bucket",
                   "arn:aws:s3:::amzn-s3-demo-bucket/*"
               ]
           }
       ]
   }

2. Redefina a ACL de bucket para a ACL padrão:

   aws s3api put-bucket-acl --bucket amzn-s3-demo-bucket --acl private

3. Adote a configuração Imposto pelo proprietário do bucket em Propriedade de objeto.