Amazon S3 S3-Richtlinien für AWS IoT Analytics Ressourcen

Sie können verarbeitete Datenspeicher-Nachrichten in einem Amazon S3 S3-Bucket speichern, der von Ihnen verwaltet wird AWS IoT Analytics oder von Ihnen verwaltet wird. Wenn Sie einen Datenspeicher erstellen, wählen Sie mithilfe des datastoreStorage API-Parameters den gewünschten Amazon S3 S3-Bucket aus. Standardmäßig wird ein serviceverwalteter Amazon S3-Bucket verwendet.

Wenn Sie Datenspeicher-Nachrichten in einem von Ihnen verwalteten Amazon S3 S3-Bucket speichern möchten, müssen Sie die AWS IoT Analytics Erlaubnis erteilen, diese Aktionen in Ihrem Amazon S3 S3-Bucket für Sie durchzuführen:

• s3:GetBucketLocation

• s3:PutObject

• s3:DeleteObject

Wenn Sie den Datenspeicher als Quelle für einen SQL-Abfragedatensatz verwenden, richten Sie eine Amazon S3 S3-Bucket-Richtlinie ein, die Ihnen die AWS IoT Analytics Erlaubnis erteilt, Amazon Athena Athena-Abfragen für den Inhalt Ihres Buckets aufzurufen.

Anmerkung

Wir empfehlen Ihnen, dies aws:SourceArn in Ihrer Bucket-Richtlinie festzulegen, um das Sicherheitsproblem Confused Deputy zu vermeiden. Dadurch wird der Zugriff eingeschränkt, indem nur Anfragen zugelassen werden, die von einem bestimmten Konto stammen. Weitere Informationen zum Confused-Deputy-Problem finden Sie Serviceübergreifende Confused-Deputy-Prävention.

Im Folgenden finden Sie ein Beispiel für eine Bucket-Richtlinie, die diese erforderlichen Berechtigungen gewährt.

{
    "Version": "2012-10-17",
    "Id": "MyPolicyID",
    "Statement": [
        {
            "Sid": "MyStatementSid",
            "Effect": "Allow",
            "Principal": {
                "Service": "iotanalytics.amazonaws.com"
            },
            "Action": [
                "s3:GetBucketLocation",
                "s3:GetObject",
                "s3:ListBucket",
                "s3:ListBucketMultipartUploads",
                "s3:ListMultipartUploadParts",
                "s3:AbortMultipartUpload",
                "s3:PutObject",
                "s3:DeleteObject"
            ],
            "Resource": [
                "arn:aws:s3:::DOC-EXAMPLE-BUCKET",
                "arn:aws:s3:::DOC-EXAMPLE-BUCKET/*"
            ],
            "Condition": {
                "ArnLike": {
                    "aws:SourceArn": [
                        "arn:aws:iotanalytics:us-east-1:123456789012:dataset/DOC-EXAMPLE-DATASET",
                        "arn:aws:iotanalytics:us-east-1:123456789012:datastore/DOC-EXAMPLE-DATASTORE"
                    ]
                }
            }
        }
    ]
}

Weitere Informationen finden Sie unter Kontoübergreifender Zugriff im Amazon Athena Athena-Benutzerhandbuch.

Anmerkung

Wenn Sie die Optionen oder Berechtigungen Ihres vom Kunden verwalteten Datenspeichers aktualisieren, müssen Sie möglicherweise Kanaldaten erneut verarbeiten, um sicherzustellen, dass alle zuvor aufgenommenen Daten in den Datensatzinhalten enthalten sind. Weitere Informationen finden Sie unter Kanaldaten erneut verarbeiten.