Permitindo que o Amazon Macie acesse buckets e objetos do S3

Quando você habilita o Amazon Macie para você Conta da AWS, o Macie cria uma função vinculada ao serviço que concede ao Macie as permissões necessárias para chamar o Amazon Simple Storage Service (Amazon S3) e outros serviços em seu nome. Serviços da AWS Uma função vinculada ao serviço simplifica o processo de configuração de uma Serviço da AWS porque você não precisa adicionar permissões manualmente para que o serviço conclua ações em seu nome. Para saber mais sobre esse tipo de função, consulte as IAMfunções no Guia AWS Identity and Access Management do usuário.

A política de permissões para o perfil vinculado a serviços do Macie (AWSServiceRoleForAmazonMacie) permite que o Macie execute ações que incluem recuperar informações sobre buckets e objetos do S3 e recuperar objetos de buckets. Se você for o administrador do Macie de uma organização, a política também permite que o Macie execute essas ações em seu nome para contas-membro em sua organização.

O Macie usa essas permissões para executar tarefas como:

Na maioria dos casos, o Macie tem as permissões necessárias para realizar essas tarefas. No entanto, se um bucket do S3 tiver uma política restritiva de bucket, a política poderá impedir que o Macie execute algumas ou todas essas tarefas.

Uma política de bucket é uma política baseada em recursos AWS Identity and Access Management (IAM) que especifica quais ações um principal (usuário, conta, serviço ou outra entidade) pode realizar em um bucket do S3 e as condições sob as quais um principal pode realizar essas ações. As ações e condições podem ser aplicadas a operações em nível de bucket, como a recuperação de informações sobre um bucket, e a operações em nível de objeto, como a recuperação de objetos de um bucket.

Geralmente, as políticas de bucket concedem ou restringem o acesso usando instruções e condições explícitas Allow ou Deny. Por exemplo, uma política de bucket pode conter uma Deny declaração Allow or que nega acesso ao bucket, a menos que endereços IP de origem específicos, endpoints da Amazon Virtual Private Cloud (AmazonVPC) ou VPCs sejam usados para acessar o bucket. Para obter informações sobre o uso de políticas de bucket para conceder ou restringir o acesso a buckets, consulte Políticas de bucket para o Amazon S3 e Como o Amazon S3 autoriza uma solicitação no Guia do usuário do Amazon Simple Storage Service.

Se uma política de bucket usa uma instrução Allow explícita, a política não impede que o Macie recupere informações sobre o bucket e os objetos do bucket, nem que ele recupere objetos do bucket. Isso ocorre porque as instruções Allow na política de permissões para o perfil vinculado a serviços do Macie concedem essas permissões.

No entanto, se uma política de bucket usa uma instrução Deny explícita com uma ou mais condições, talvez o Macie não tenha permissão para recuperar informações sobre o bucket ou os objetos do bucket, nem de recuperar os objetos do bucket. Por exemplo, se uma política de bucket negar explicitamente o acesso de todas as fontes, salvo de um endereço IP específico, o Macie não poderá analisar os objetos do bucket quando você executar um trabalho de descoberta de dados confidenciais. Isso ocorre porque as políticas de bucket restritivas têm precedência sobre as instruções Allow na política de permissões para o perfil vinculado a serviços do Macie.

Para permitir que o Macie acesse um bucket do S3 que tenha uma política restritiva de bucket, você pode adicionar uma condição para o perfil vinculado a serviços do Macie (AWSServiceRoleForAmazonMacie) à política do bucket. A condição pode impedir que o perfil vinculado a serviços do Macie corresponda à restrição Deny na política. Ele pode fazer isso usando a chave de contexto de condição aws:PrincipalArn global e o Amazon Resource Name (ARN) da função vinculada ao serviço Macie.

O procedimento a seguir orientará você durante esse processo e fornecerá um exemplo.

Onde você adiciona isso a uma política de bucket depende da estrutura, dos elementos e das condições que a política contém atualmente. Para saber mais sobre estruturas e elementos compatíveis, consulte Políticas e permissões no Amazon S3 no Guia do usuário do Amazon Simple Storage Service.

Veja a seguir um exemplo de uma política de bucket que usa uma Deny declaração explícita para restringir o acesso a um bucket do S3 chamado. amzn-s3-demo-bucket Com a política atual, o bucket só pode ser acessado a partir do VPC endpoint cujo ID évpce-1a2b3c4d. O acesso de todos os outros VPC endpoints é negado, incluindo o acesso do AWS Management Console e do Macie.

{
   "Version": "2012-10-17",
   "Id": "Policy1415115example",
   "Statement": [
      {
         "Sid": "Access only from specific VPCE",
         "Effect": "Deny",
         "Principal": "*",
         "Action": "s3:*",
         "Resource": [
            "arn:aws:s3:::amzn-s3-demo-bucket",
            "arn:aws:s3:::amzn-s3-demo-bucket/*"
         ],
         "Condition": {
            "StringNotEquals": {
               "aws:SourceVpce": "vpce-1a2b3c4d"
            }
         }
      }
   ]
}

Para alterar essa política e permitir que o Macie acesse o bucket do S3 e os objetos do bucket, podemos adicionar uma condição que usa o operador de condição StringNotLike e a chave de contexto de condição global aws:PrincipalArn. Essa condição adicional impede que o perfil vinculado a serviços do Macie corresponda à restrição Deny.

{
   "Version": "2012-10-17",
   "Id":" Policy1415115example ",
   "Statement": [
      {
         "Sid": "Access only from specific VPCE and Macie",
         "Effect": "Deny",
         "Principal": "*",
         "Action": "s3:*",
         "Resource": [
            "arn:aws:s3:::amzn-s3-demo-bucket",
            "arn:aws:s3:::amzn-s3-demo-bucket/*"
         ],
         "Condition": {
            "StringNotEquals": {
               "aws:SourceVpce": "vpce-1a2b3c4d"
            },
            "StringNotLike": {
               "aws:PrincipalArn": "arn:aws:iam::123456789012:role/aws-service-role/macie.amazonaws.com/AWSServiceRoleForAmazonMacie"
            }
         }
      }
   ]
}

No exemplo anterior, o operador de StringNotLike condição usa a chave de contexto de aws:PrincipalArn condição para especificar a função vinculada ao serviço ARN do Macie, em que:

Usamos o operador StringNotLike porque a política já usa um operador StringNotEquals. Uma política só pode usar o operador StringNotEquals uma vez.

Para obter exemplos de políticas adicionais e informações detalhadas sobre o gerenciamento do acesso aos recursos do Amazon S3, consulte Gerenciamento de acesso no Guia do usuário do Amazon Simple Storage Service.