As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Permissões para o Amazon S3 Bucket para o AWS Config Canal de entrega

Os buckets e objetos do Amazon S3 são privados por padrão. Somente quem criou Conta da AWS o bucket (o proprietário do recurso) tem permissões de acesso. Proprietários de recurso podem conceder acesso a outros recursos e usuários por meio da criação de políticas de acesso.

Quando cria AWS Config automaticamente um bucket do S3 para você, ele adiciona as permissões necessárias. No entanto, se você especificar um bucket do S3 existente, adicione essas permissões manualmente.

Permissões obrigatórias para o bucket do Amazon S3 ao usar perfis do IAM

AWS Config usa a função do IAM que você atribuiu ao gravador de configuração para fornecer histórico de configuração e instantâneos aos buckets do S3 em sua conta. Para entrega entre contas, AWS Config primeiro tente usar a função do IAM atribuída. Se a política de bucket não conceder acesso de WRITE ao perfil do IAM, o AWS Config usará a entidade principal serviço config.amazonaws.com. A política de bucket deve conceder acesso de WRITE a config.amazonaws.com para a conclusão da entrega. Após a entrega bem-sucedida, AWS Config mantém a propriedade de todos os objetos que entrega ao bucket S3 de várias contas.

AWS Config chama a HeadBucket API do Amazon S3 com a função do IAM que você atribuiu ao gravador de configuração para confirmar se o bucket do S3 existe e sua localização. Se você não tiver as permissões necessárias AWS Config para confirmar, verá um AccessDenied erro nos seus AWS CloudTrail registros. No entanto, ainda AWS Config pode fornecer histórico de configuração e instantâneos, mesmo AWS Config que não tenha as permissões necessárias para confirmar se o bucket do S3 existe e sua localização.

Permissões necessárias para o bucket do Amazon S3 ao usar funções Service-Linked

A função AWS Config vinculada ao serviço não tem permissão para colocar objetos nos buckets do Amazon S3. Se você configurar AWS Config usando uma função vinculada ao serviço, AWS Config usará o principal do config.amazonaws.com serviço para fornecer histórico de configuração e instantâneos. A política de bucket do S3 em sua conta ou em destinos entre contas deve incluir permissões para que o responsável pelo AWS Config serviço grave objetos.

Concessão AWS Config acesso ao Amazon S3 Bucket

Conclua as etapas a seguir AWS Config para permitir a entrega do histórico de configuração e dos snapshots para um bucket do Amazon S3.

A AWS:SourceAccount condição restringe as AWS Config operações ao especificado Contas da AWS. Para configurações de várias contas em uma organização que faz entregas em um único bucket do S3, use funções do IAM com chaves de AWS Organizations condições em vez de funções vinculadas ao serviço. Por exemplo, .AWS:PrincipalOrgID Para ter mais informações, consulte Como gerenciar permissões de acesso para a organização no Guia do usuário do AWS Organizations .

A AWS:SourceArn condição restringe as AWS Config operações a canais de entrega específicos. O formato do AWS:SourceArn é o seguinte: arn:aws:config:sourceRegion:123456789012.

Por exemplo, para restringir o acesso do bucket do S3 a um canal de entrega na região Leste dos EUA (Norte da Virgínia) para a conta 123456789012, adicione a seguinte condição:

"ArnLike": {"AWS:SourceArn": "arn:aws:config:us-east-1:123456789012:"}

Permissões necessárias para o bucket Amazon S3 ao entregar Cross-Account

Quando AWS Config está configurado para entregar histórico de configuração e snapshots para um bucket do Amazon S3 em uma conta diferente (configuração entre contas), onde o gravador de configuração e o bucket S3 especificados para o canal de entrega são diferentes Contas da AWS, as seguintes permissões são necessárias:

Abaixo é apresentado um exemplo de configuração de política de bucket.

{
      "Sid": "AWSConfigBucketExistenceCheck",
      "Effect": "Allow",
      "Principal": {
        "AWS": "IAM Role-Arn assigned to the configuration recorder"
      },
      "Action": "s3:ListBucket",
      "Resource": "arn:aws:s3:::amzn-s3-demo-bucket",
}