Permisos de bucket de Amazon S3

El bucket de Amazon S3 que elija debe tener una política de bucket que proporcione acceso suficiente al servidor principal de WorkSpaces aplicaciones para acceder a los objetos del bucket de Amazon S3 y descargarlos. Tendrá que modificar la siguiente política de bucket y, a continuación, aplicarla al bucket de Amazon S3 que vaya a utilizar para los iconos de aplicaciones, los scripts de configuración y los VHD. Para obtener más información sobre cómo aplicar una política a un bucket de Amazon S3, consulte Agregar una política de bucket mediante la consola de Amazon S3.

Asegúrese de que las listas de control de acceso (ACL) de sus buckets de Amazon S3 estén deshabilitadas. Para obtener más información, consulte Desactivación de las ACL para todos los buckets nuevos y aplicación de la propiedad de objetos.

En esta sección se presentan ejemplos de casos de uso típicos para políticas de bucket. Estas políticas de ejemplo usan bucket como valor de recurso. Para probar estas políticas, sustituya user input placeholders por su propia información (como el nombre del bucket).

nota

WorkSpaces Applications no admite la prevención confusa de los iconos de las aplicaciones, por lo que la afirmación que permite el acceso al objeto del icono de la aplicación no puede incluir ninguna condición. Para obtener más información, consulte Ejemplo: Aplicación de WorkSpaces aplicaciones: política de bucket de Amazon S3, prevención indirecta confusa entre servicios.

{
  "Version": "2012-10-17",
  "Statement": [
      {
       "Sid": "AllowAppStream20ToRetrieveObjects",
       "Effect": "Allow",
       "Principal": {
          "Service": ["appstream.amazonaws.com"]
        },
        "Action": ["s3:GetObject"],
        "Resource": [
           "arn:aws:s3:::bucket/VHD object",
           "arn:aws:s3:::bucket/Setup script object",
           "arn:aws:s3:::bucket/Session scripts zip file object"
         ],
        "Condition": {
          "StringEquals": {
            "aws:SourceAccount": "111122223333"
          }
        }
      },
      {
       "Sid": "AllowRetrievalPermissionsToS3AppIconsForAppStream",
       "Effect": "Allow",
       "Principal": {
          "Service": ["appstream.amazonaws.com"]
        },
        "Action": ["s3:GetObject"],
        "Resource": "arn:aws:s3:::bucket/Application icon object"
      }
  ]
}

nota

El ejemplo de la política de bucket define objetos específicos en el bucket de S3 a los que pueden acceder WorkSpaces las aplicaciones. También puede usar prefijos y caracteres comodín para simplificar la administración de políticas a medida que aumenta los bloques de aplicaciones. Para obtener más información acerca de las políticas de bucket, consulte Uso de políticas de bucket. Para obtener más información sobre los ejemplos de buckets más habituales, consulte Ejemplos de política de bucket.

Si utiliza un bloque de WorkSpaces aplicaciones, WorkSpaces Applications requiere permisos adicionales para cargar el paquete de aplicaciones en el bucket de Amazon S3 correspondiente. Para obtener más información sobre los bloques de WorkSpaces aplicaciones, consulteWorkSpaces Aplicaciones: bloques de aplicaciones..

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowAppStream20ToPutAndRetrieveObjects",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "appstream.amazonaws.com"
        ]
      },
      "Action": [
        "s3:GetObject",
        "s3:ListBucket",
        "s3:PutObject",
        "s3:GetBucketOwnershipControls"
      ],
      "Resource": [
        "arn:aws:s3:::bucket",
        "arn:aws:s3:::bucket/AppStream2/*",
        "arn:aws:s3:::bucket/Setup script object",
        "arn:aws:s3:::bucket/Session scripts zip file object"
      ],
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "111122223333"
        }
      }
    },
    {
      "Sid": "AllowRetrievalPermissionsToS3AppIconsForAppStream",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "appstream.amazonaws.com"
        ]
      },
      "Action": [
        "s3:GetObject"
      ],
      "Resource": "arn:aws:s3:::bucket/Application icon object"
    }
  ]
}