Einrichten von Amazon S3 Buckets für Application Cost Profiler

So senden Sie Nutzungsdaten an und empfangen Berichte vonAWSIn Ihrem Application Cost Profiler müssen Sie mindestens einen Amazon Simple Storage Service (Amazon S3) -Bucket in IhremAWS-Kontoum Daten und einen S3-Bucket zu speichern, um Ihre Berichte zu erhalten.

Anmerkung

Für Benutzer vonAWS Organizationskönnen sich die Amazon S3 S3-Buckets entweder im Verwaltungskonto oder in einzelnen Mitgliedskonten befinden. Die Daten in S3-Buckets, die dem Verwaltungskonto gehören, können verwendet werden, um Berichte für die gesamte Organisation zu erstellen. In einzelnen Mitgliedskonten können die Daten in den S3-Buckets nur verwendet werden, um Berichte für dieses Mitgliedskonto zu erstellen.

Die S3-Buckets, die Sie erstellen, gehören demAWS-Kontoin dem du sie erschaffst. Die S3-Buckets werden zu Amazon S3 S3-Standardtarifen abgerechnet. Weitere Informationen zum Erstellen eines Amazon S3 S3-Buckets finden Sie unterErstellen eines BucketsimBenutzerhandbuch für Amazon Simple Storage Serviceaus.

Damit Application Cost Profiler die S3-Buckets verwenden kann, müssen Sie den Buckets eine Richtlinie anfügen, die Application Cost Profiler Berechtigungen zum Lesen und/oder Schreiben in den Bucket gewährt. Wenn Sie die Richtlinie ändern, nachdem Ihre Berichte eingerichtet wurden, können Sie verhindern, dass Application Cost Profiler Ihre Nutzungsdaten lesen oder Ihre Berichte liefern kann.

Die folgenden Themen zeigen, wie Sie Berechtigungen für Ihre Amazon S3 S3-Buckets einrichten, nachdem Sie sie erstellt haben. Zusätzlich zur Möglichkeit, Objekte zu lesen und zu schreiben, muss Application Cost Profiler auch Zugriff auf dieAWS Key Management Service(AWS KMS) Schlüssel für jeden Bucket.

Application Cost Profiler Zugriff auf Ihren S3-Bucket für die Berichtszustellung gewähren

Der S3-Bucket, den Sie für Application Cost Profiler konfigurieren, um Ihre Berichte zu liefern, muss eine Richtlinie angehängt sein, mit der Application Cost Profiler die Berichtsobjekte erstellen kann. Außerdem muss der S3-Bucket konfiguriert sein, um die Verschlüsselung zu aktivieren.

Anmerkung

Wenn Sie Ihren Bucket erstellen, müssen Sie ihn verschlüsseln. Sie können Ihren Bucket mit von Amazon S3 verwalteten Schlüsseln (SSE-S3) oder durch Ihren eigenen Schlüssel verschlüsseln, der von verwaltet wirdAWS KMS(SSE-KMS). Wenn Sie Ihren Bucket bereits ohne Verschlüsselung erstellt haben, müssen Sie Ihren Bucket bearbeiten, um Verschlüsselung hinzuzufügen.

So geben Sie Application Cost Profiler Zugriff auf Ihren S3-Bucket für die Berichtsauslieferung

1. Rufen Sie aufAmazon S3-Konsoleund melden Sie sich an.

2. SelectBucketsWählen Sie in der linken Navigation und wählen Sie dann Ihren Bucket aus der Liste aus.

3. Wählen Sie das SymbolBerechtigungenTab, dann nebenBucket-Richtlinie, wählenBearbeitenaus.

4. In der--RichtlinieFügen Sie die folgende Richtlinie ein. Ersetzen<bucket_name>durch den Namen Ihres -Buckets und<AWS-Konto>durch die ID IhresAWS-Kontoaus.

   {
         "Version":"2008-10-17",
         "Statement":[
           {
             "Effect":"Allow",
             "Principal":{
               "Service":"application-cost-profiler.amazonaws.com"
             },
             "Action":[
               "s3:PutObject*",
               "s3:GetEncryptionConfiguration"
             ],
             "Resource": [
               "arn:aws:s3:::<bucket-name>",
               "arn:aws:s3:::<bucket-name>/*"
             ],
             "Condition": {
               "StringEquals": {
                 "aws:SourceAccount": "<AWS-Konto>"
               },
               "ArnEquals": {
                 "aws:SourceArn": "arn:aws:application-cost-profiler:us-east-1:<AWS-Konto>:*"
               }
             }
           }
         ]
       }

   In dieser Richtlinie geben Sie den Dienstprinzipal der Application Cost Profiler (application-cost-profiler.amazonaws.com) Zugriff auf die Bereitstellung von Berichten an den angegebenen Bucket. Sie macht dies in Ihrem Auftrag und fügt einen Header beiAWS-Kontound einen ARN, der für Ihren Berichtsliefer-Bucket spezifisch ist. Um sicherzustellen, dass Application Cost Profiler nur auf Ihren Bucket zugreift, wenn Sie in Ihrem Namen handeln,Conditionsucht nach diesen Headern.

5. Klicken Sie aufSpeichern Sie die Änderungenum Ihre Richtlinie zu speichern, die an Ihren Bucket angehängt ist.

   Wenn Sie Ihren Bucket mit SSE-S3-Verschlüsselung erstellt haben, sind Sie fertig. Wenn Sie die SSE-KMS-Verschlüsselung verwendet haben, sind die folgenden Schritte erforderlich, um Application Cost Profiler Zugriff auf Ihren Bucket zu gewähren.

6. (Optional) Wählen Sie dieEigenschaftenRufen Sie für Ihren Bucket und unterStandardverschlüsselungWählen Sie den Amazon-Ressourcennamen (ARN) für IhrenAWS KMSkey. Diese Aktion zeigt dieAWS Key Management Servicekonsolen und zeigt Ihren Schlüssel an.

7. (Optional) Fügen Sie die Richtlinie hinzu, um dem Application Cost Profiler Zugriff auf dieAWS KMSkey. Anweisungen zum Hinzufügen dieser Richtlinie finden Sie unterApplication Cost Profiler Zugriff auf SSE-KMS verschlüsselte S3-Buckets gewährenaus.

Application Cost Profiler Zugriff auf Ihre Nutzungsdaten geben S3-Bucket

Der S3-Bucket, den Sie für Application Cost Profiler konfigurieren, aus dem Ihre Nutzungsdaten gelesen werden kann, muss eine Richtlinie angehängt sein, damit Application Cost Profiler die Nutzungsdatenobjekte lesen kann.

Anmerkung

Indem Sie Application Cost Profiler Zugriff auf Ihre Nutzungsdaten gewähren, erklären Sie sich damit einverstanden, dass wir solche Nutzungsdatenobjekte vorübergehend in den USA Ost (N. Virginia) kopieren könnenAWS-Regionwährend der Verarbeitung von Berichten. Diese Datenobjekte werden in der Region USA Ost (Nord-Virginia) aufbewahrt, bis die monatliche Berichtsgenerierung abgeschlossen ist.

So gewähren Sie Application Cost Profiler Zugriff auf Ihre Nutzungsdaten S3-Bucket

1. Rufen Sie aufAmazon S3-Konsoleund melden Sie sich an.

2. SelectBucketsWählen Sie in der linken Navigation und wählen Sie dann Ihren Bucket aus der Liste aus.

3. Wählen Sie das SymbolBerechtigungenTab, dann nebenBucket-Richtlinie, wählenBearbeitenaus.

4. In der--RichtlinieFügen Sie die folgende Richtlinie ein. Ersetzen<bucket-name>durch den Namen Ihres -Buckets und<AWS-Konto>durch die ID IhresAWS-Kontoaus.

   {
         "Version":"2008-10-17",
         "Statement":[
           {
             "Effect":"Allow",
             "Principal":{
               "Service":"application-cost-profiler.amazonaws.com"
             },
             "Action":[
               "s3:GetObject*"
             ],
             "Resource": [
               "arn:aws:s3:::<bucket-name>",
               "arn:aws:s3:::<bucket-name>/*"
             ],
             "Condition": {
               "StringEquals": {
                 "aws:SourceAccount": "<AWS-Konto>"
               },
               "ArnEquals": {
                 "aws:SourceArn": "arn:aws:application-cost-profiler:us-east-1:<AWS-Konto>:*"
               }
             }
           }
         ]
       }

   In dieser Richtlinie geben Sie den Dienstprinzipal der Application Cost Profiler (application-cost-profiler.amazonaws.com) Zugriff, um Daten aus dem angegebenen Bucket zu holen. Sie macht dies in Ihrem Auftrag und fügt einen Header beiAWS-Kontound einen ARN, der für Ihren Nutzungs-Bucket spezifisch ist. Um sicherzustellen, dass Application Cost Profiler nur auf Ihren Bucket zugreift, wenn Sie in Ihrem Namen handeln,Conditionsucht nach diesen Headern.

5. Klicken Sie aufSpeichern Sie die Änderungenum Ihre Richtlinie zu speichern, die an Ihren Bucket angehängt ist.

Wenn dein Bucket mit verschlüsselt istAWS KMSverwaltete Schlüssel, dann müssen Sie Application Cost Profiler Zugriff auf Ihren Bucket gewähren, indem Sie das Verfahren im nächsten Abschnitt befolgen.

Application Cost Profiler Zugriff auf SSE-KMS verschlüsselte S3-Buckets gewähren

Wenn Sie die S3-Buckets, die Sie für Application Cost Profiler konfigurieren (erforderlich für Berichtsbuckets) mit Schlüsseln verschlüsseln, die inAWS KMS(SSE-KMS) müssen Sie Application Cost Profiler auch Berechtigungen erteilen, um sie zu entschlüsseln. Sie tun dies, indem Sie Zugriff auf dieAWS KMS-Schlüssel, die zum Verschlüsseln der Daten verwendet werden.

Anmerkung

Wenn Ihr Bucket mit verwalteten Amazon S3 S3-Schlüsseln verschlüsselt ist, müssen Sie diesen Vorgang nicht ausführen.

So gewähren Sie Application Cost Profiler Zugriff aufAWS KMSfür SSE-KMS verschlüsselte S3-Buckets

1. Rufen Sie aufAWS KMSKonsoleund melden Sie sich an.

2. SelectKundenverwaltete SchlüsselWählen Sie in der linken Navigation und in der anschließend angezeigten Liste den Schlüssel aus, der zum Verschlüsseln Ihres Buckets verwendet wird.

3. SelectWechseln Sie zur RichtlinienansichtWählen Sie dannBearbeitenaus.

4. In der--RichtlinieFügen Sie die folgende Richtlinienanweisung ein.

     {
       "Effect": "Allow",
       "Principal": {
           "Service": "application-cost-profiler.amazonaws.com"
       },
       "Action": [
           "kms:Decrypt",
           "kms:GenerateDataKey*"
       ],
       "Resource": "*",
             "Condition": {
               "StringEquals": {
                 "aws:SourceAccount": "<AWS-Konto>"
               },
               "ArnEquals": {
                 "aws:SourceArn": "arn:aws:application-cost-profiler:us-east-1:<AWS-Konto>:*"
               }
     }

5. Klicken Sie aufSpeichern Sie die Änderungenum Ihre Richtlinie zu speichern, die an Ihren Schlüssel angehängt ist.

6. Wiederholen Sie dies für jeden Schlüssel, der einen S3-Bucket verschlüsselt, auf den Application Cost Profiler zugreifen muss.

Anmerkung

Die Daten werden beim Import in verwaltete Buckets von Application Cost Profiler (die verschlüsselt sind) aus Ihrem S3-Bucket kopiert. Wenn Sie den Zugriff auf die Schlüssel widerrufen, kann Application Cost Profiler keine neuen Objekte aus dem Bucket abrufen. Alle bereits importierten Daten können jedoch weiterhin zum Generieren von Berichten verwendet werden.