設定證據搜尋器的預設匯出目的地

為確保檔案成功匯出，建議您驗證匯出目的地的下列組態。

AWS 區域

您 AWS 區域 的客戶管理金鑰 (如果您提供的話) 必須符合您評估的區域。如需如何變更KMS金鑰的指示，請參閱 Audit Manager 資料加密設定。

跨帳戶 S3 儲存貯體

Audit Manager 主控台不支援將跨帳戶 S3 儲存貯體用作匯出目的地。您可以使用 AWS CLI 或其中一個指定跨帳戶儲存貯體 AWS SDKs，但為了簡單起見，建議您不要這麼做。如果您選擇將跨帳戶 S3 儲存貯體用作匯出目的地，請考慮以下幾點。

• 根據預設，S3 物件 (例如CSV匯出) 由上傳物件的擁有。 AWS 帳戶 您可以使用 S3 物件擁有權設定來變更此預設行為，讓具有bucket-owner-full-control固定存取控制清單 (ACL) 的帳戶所寫入的任何新物件都會自動成為儲存貯體擁有者所擁有。

  我們雖不要求，但建議您對跨帳戶儲存貯體設定進行下列變更。進行這些變更可確保儲存貯體擁有者完全控制您發佈至其儲存貯體的匯出檔案。

  • 將 S3 儲存貯體的物件擁有權設定為首選儲存貯體擁有者，而非預設物件寫入器

  • 新增值區政策，以確保上傳至該值區的物件具有 bucket-owner-full-control ACL

• 如需允許 Audit Manager 將檔案匯出至跨帳戶 S3 儲存貯體，您必須將下列 S3 儲存貯體政策新增至匯出目的地儲存貯體。更換 placeholder text 使用您自己的信息。此政策中的 Principal 元素是擁有評估和匯出檔案的使用者或角色。Resource 指定匯出檔案的跨帳戶 S3 儲存貯體。

  {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Allow cross account file exports",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::AssessmentOwnerAccountId:user/AssessmentOwnerUserName"
            },
            "Action": [
                "s3:ListBucket",
                "s3:PutObject",
                "s3:GetObject",
                "s3:GetBucketLocation",
                "s3:PutObjectAcl",
                "s3:DeleteObject"
            ],
            "Resource": [
                "arn:aws:s3:::CROSS-ACCOUNT-BUCKET",
                "arn:aws:s3:::CROSS-ACCOUNT-BUCKET/*"
            ]
        }
    ]
  }

顯示較多顯示較少