儲存及保留敏感資料探索結果

在https://console.aws.amazon.com/macie/打開 Amazon Macie 控制台。

在功能窗格的 [設定] 下，選擇 [探索結果]。

在敏感資料探索結果的儲存庫下，選擇 [建立值區]。

在「建立值區」方塊中，輸入值區的名稱。

該名稱在所有 S3 儲存貯體中必須是唯一的。此外，名稱只能由小寫字母、數字、點 (.) 和連字號 (-) 組成。如需其他命名需求，請參閱 Amazon 簡單儲存服務使用者指南中的儲存貯體命名規則。

展開 Advanced (進階) 區段。

(選擇性) 若要指定值區中某個位置的路徑中要使用的前置詞，請在資料探索結果前置詞方塊中輸入前置詞。

當您輸入值時，Macie 會更新方塊下方的範例，以顯示儲存探索結果的值區位置路徑。

在 [封鎖所有公開存取] 中，選擇 [是] 以啟用值區的所有封鎖公開存取設定。

如需這些設定的相關資訊，請參閱 Amazon 簡單儲存服務使用者指南中的封鎖對 Amazon S3 儲存的公開存取。

在「加密設定」下，指 AWS KMS key 定您希望 Macie 用來加密結果的項目：

完成輸入設定後，請選擇 [儲存]。

Macie 會測試設定以確認設定是否正確。如果有任何設定不正確，Macie 會顯示錯誤訊息來協助您解決問題。

在開啟 Amazon S3 主控台https://console.aws.amazon.com/s3/。

選擇您要儲存探索結果的儲存貯體。

選擇許可索引標籤標籤。

在儲存貯體政策區段中，選擇編輯。

將下列範例原則複製到剪貼簿：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Allow Macie to use the GetBucketLocation operation",
            "Effect": "Allow",
            "Principal": {
                "Service": "macie.amazonaws.com"
            },
            "Action": "s3:GetBucketLocation",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "111122223333"
                },
                "ArnLike": {
                    "aws:SourceArn": [
                        "arn:aws:macie2:Region:111122223333:export-configuration:*",
                        "arn:aws:macie2:Region:111122223333:classification-job/*"
                    ]
                }
            }
        },
        {
            "Sid": "Allow Macie to add objects to the bucket",
            "Effect": "Allow",
            "Principal": {
                "Service": "macie.amazonaws.com"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/[optional prefix/]*",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "111122223333"
                },
                "ArnLike": {
                    "aws:SourceArn": [
                        "arn:aws:macie2:Region:111122223333:export-configuration:*",
                        "arn:aws:macie2:Region:111122223333:classification-job/*"
                    ]
                }
            }
        },
        {
            "Sid": "Deny unencrypted object uploads. This is optional",
            "Effect": "Deny",
            "Principal": {
                "Service": "macie.amazonaws.com"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/[optional prefix/]*",
            "Condition": {
                "StringNotEquals": {
                    "s3:x-amz-server-side-encryption": "aws:kms"
                }
            }
        },
        {
            "Sid": "Deny incorrect encryption headers. This is optional",
            "Effect": "Deny",
            "Principal": {
                "Service": "macie.amazonaws.com"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/[optional prefix/]*",
            "Condition": {
                "StringNotEquals": {
                    "s3:x-amz-server-side-encryption-aws-kms-key-id": "arn:aws:kms:Region:111122223333:key/KMSKeyId"
                }
            }
        },
        {
            "Sid": "Deny non-HTTPS access",
            "Effect": "Deny",
            "Principal": "*",
            "Action": "s3:*",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*",
            "Condition": {
                "Bool": {
                    "aws:SecureTransport": "false"
                }
            }
        }
    ]
}

將範例政策貼到 Amazon S3 主控台的儲存貯體政策編輯器中。

使用適用於您環境的正確值更新範例原則：

請注意，範例政策包含的陳述式可讓 Macie 判斷值區所在的區域 (GetBucketLocation)，並將物件新增至值區 (PutObject)。這些陳述式會定義使用兩個IAM全域條件索引鍵的條件：

aws:SourceAccount和aws:SourceArn條件所指定的帳戶應該符合。

這兩種情況都有助於防止 Macie 在與 Amazon S3 進行交易時被用作混淆的副手。雖然我們不建議這樣做，但您可以從值區政策中移除這些條件。

完成值區政策更新後，請選擇 [儲存變更]。

在https://console.aws.amazon.com/macie/打開 Amazon Macie 控制台。

在功能窗格的 [設定] 下，選擇 [探索結果]。

在敏感資料探索結果的儲存庫下，選擇現有儲存貯體。

針對 [選擇值區]，選取您要儲存探索結果的儲存貯體。

若要為值區中某個位置的路徑指定首碼，請展開「進階」區段。然後，對於資料探索結果前置詞，輸入前置詞。

當您輸入值時，Macie 會更新方塊下方的範例，以顯示儲存探索結果的值區位置路徑。

在「加密設定」下，指 AWS KMS key 定您希望 Macie 用來加密結果的項目：

完成輸入設定後，請選擇 [儲存]。

Macie 會測試設定以確認設定是否正確。如果有任何設定不正確，Macie 會顯示錯誤訊息來協助您解決問題。