Política de bucket de Amazon S3 para los resultados de consultas de CloudTrail Lake

De forma predeterminada, los buckets y los objetos de Amazon S3 son privados. Solo el propietario del recurso (la cuenta de AWS que creó el bucket) puede tener acceso al bucket y a los objetos que contiene. El propietario del recurso puede conceder permisos de acceso a otros recursos y usuarios escribiendo una política de acceso.

Para enviar los resultados de las consultas de CloudTrail Lake a un depósito de S3, CloudTrail debe tener los permisos necesarios y no puede configurarse como un depósito que paga el solicitante.

CloudTrail añade los siguientes campos a la política por usted:

• Los SID permitidos

• El nombre del bucket

• El nombre principal del servicio para CloudTrail

Como práctica recomendada de seguridad, agregue una clave de conción aws:SourceArn de la política de bucket de Amazon S3. La clave de condición global de IAM aws:SourceArn ayuda a garantizar que solo se CloudTrail escriba en el depósito de S3 para el almacén de datos del evento.

La siguiente política permite CloudTrail enviar los resultados de las consultas al bucket desde el soporte Regiones de AWS. Sustituya DOC-EXAMPLE-BUCKET, myAccountID y myQueryRunningRegion por los valores adecuados para su configuración. El ID de cuenta utilizado es myAccountID CloudTrail, que puede no coincidir con el ID de AWS cuenta del bucket de S3. AWS

nota

Si su política de bucket incluye una instrucción para una clave de KMS, le recomendamos que use un ARN de la clave de KMS totalmente calificada. Si, en su lugar, utilizas un alias de clave de KMS, AWS KMS resolverá la clave en la cuenta del solicitante. Esto puede dar como resultado datos cifrados con una clave de KMS que pertenece al solicitante y no al propietario del bucket.

Si se trata de un almacén de datos de eventos de la organización, el ARN del almacén de datos de eventos debe incluir el ID de la cuenta de AWS para la cuenta de administración. Esto se debe a que la cuenta de administración mantiene la propiedad de todos los recursos de la organización.

Política de bucket de S3

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AWSCloudTrailLake1",
            "Effect": "Allow",
            "Principal": {"Service": "cloudtrail.amazonaws.com"},
            "Action": [
                "s3:PutObject*",
                "s3:Abort*"
            ],
            "Resource": [
                "arn:aws:s3:::DOC-EXAMPLE-BUCKET",
                "arn:aws:s3:::DOC-EXAMPLE-BUCKET/*"
            ],
            "Condition": {
                "StringLike": {
                    "aws:sourceAccount": "myAccountID",
                    "aws:sourceArn": "arn:aws:cloudtrail:myQueryRunningRegion:myAccountID:eventdatastore/*"
                }
            }     
        },
        {
            "Sid": "AWSCloudTrailLake2",
            "Effect": "Allow",
            "Principal": {"Service":"cloudtrail.amazonaws.com"},
            "Action": "s3:GetBucketAcl",
            "Resource": "arn:aws:s3:::DOC-EXAMPLE-BUCKET",
            "Condition": {
                "StringLike": {
                    "aws:sourceAccount": "myAccountID",
                    "aws:sourceArn": "arn:aws:cloudtrail:myQueryRunningRegion:myAccountID:eventdatastore/*"
                }
            }
        }
    ]
}
    

Contenido

• Especificar un depósito existente para los resultados de la consulta de CloudTrail Lake
• Recursos adicionales de

Especificar un depósito existente para los resultados de la consulta de CloudTrail Lake

Si especificó un depósito de S3 existente como ubicación de almacenamiento para la entrega de los resultados de las consultas de CloudTrail Lake, debe adjuntar una política CloudTrail al depósito que permita entregar los resultados de la consulta al depósito.

nota

Como práctica recomendada, usa un depósito de S3 específico para los resultados de las consultas de CloudTrail Lake.

Para añadir la CloudTrail política requerida a un bucket de Amazon S3

1. Abra la consola de Amazon S3 en https://console.aws.amazon.com/s3.

2. Elija el segmento en el que quiere CloudTrail entregar los resultados de las consultas de Lake y, a continuación, elija Permisos.

3. Elija Editar.

4. Copie S3 bucket policy for query results en la ventana Bucket Policy Editor. Reemplace los marcadores de posición en cursiva por los nombres del bucket, de la región y del ID de cuenta.

   nota

   Si el grupo existente ya tiene una o más políticas adjuntas, agrega las declaraciones para CloudTrail acceder a esa política o políticas. Evalúe el conjunto de permisos resultante para asegurarse de que sean adecuados para los usuarios que tienen acceso al bucket.

Recursos adicionales de

Para obtener más información acerca de las políticas y los buckets de S3, consulte Uso de políticas de bucket en la Guía del usuario de Amazon Simple Storage Service.