Configuration des compartiments Amazon S3 pour Application Cost Profiler

Pour envoyer des données d'utilisation et recevoir des rapports depuisAWSApplication Cost Profiler, vous devez disposer d'au moins un compartiment Amazon Simple Storage Service (Amazon S3) dans votre compartimentCompte AWSpour stocker les données et un compartiment S3 pour recevoir vos rapports.

Note

Pour les utilisateurs deAWS Organizations, les compartiments Amazon S3 peuvent se trouver dans le compte de gestion ou dans des comptes membres individuels. Les données des compartiments S3 appartenant au compte de gestion peuvent être utilisées pour générer des rapports pour l'ensemble de l'organisation. Dans les comptes de membres individuels, les données des compartiments S3 ne peuvent être utilisées que pour générer des rapports pour ce compte membre.

Les compartiments S3 que vous créez appartiennent auCompte AWSdans lequel vous les créez. Les godets S3 sont facturés aux tarifs Amazon S3 standard. Pour plus d'informations sur la façon de créer un compartiment Amazon S3, consultezCréer un compartimentdans leManuel de l'utilisateur d'Amazon Simple Storage Service.

Pour que Application Cost Profiler puisse utiliser les compartiments S3, vous devez attacher une stratégie aux compartiments qui autorise Application Cost Profiler à lire et/ou écrire dans celui-ci. Si vous modifiez la stratégie après la configuration de vos rapports, vous pouvez empêcher Application Cost Profiler de pouvoir lire vos données d'utilisation ou fournir vos rapports.

Les rubriques suivantes expliquent comment configurer des autorisations sur vos compartiments Amazon S3 après les avoir créés. Outre la possibilité de lire et d'écrire des objets, si vous avez chiffré les compartiments, Application Cost Profiler doit avoir accès auAWS Key Management Service(AWS KMS) pour chaque seau.

Donner à Application Cost Profiler l'accès à votre compartiment S3 de livraison de rapports

Le compartiment S3 que vous configurez pour que Application Cost Profiler fournisse vos rapports doit être associé à une stratégie permettant à Application Cost Profiler de créer les objets de rapport. En outre, le compartiment S3 doit être configuré pour activer le chiffrement.

Note

Lorsque vous créez votre compartiment, vous devez choisir de le chiffrer. Vous pouvez choisir de chiffrer votre compartiment avec des clés gérées par Amazon S3 (SSE-S3) ou avec votre propre clé gérée parAWS KMS(SE-KMS). Si vous avez déjà créé votre compartiment sans chiffrement, vous devez modifier votre compartiment pour ajouter le chiffrement.

Pour donner à Application Cost Profiler l'accès à votre compartiment S3 de livraison de rapports

1. Accédez à laConsole Amazon S3et connectez-vous.

2. Tâche de sélectionCompartimentsdans la barre de navigation de gauche, puis choisissez votre compartiment dans la liste.

3. Cliquez sur l'ongletAutorisations, puis à côté deStratégie de compartiment, choisissezModifier.

4. DansStratégie, insérez la stratégie suivante. Remplacez<bucket_name>par le nom de votre compartiment, et<Compte AWS>par l'ID de votreCompte AWS.

   {
         "Version":"2008-10-17",
         "Statement":[
           {
             "Effect":"Allow",
             "Principal":{
               "Service":"application-cost-profiler.amazonaws.com"
             },
             "Action":[
               "s3:PutObject*",
               "s3:GetEncryptionConfiguration"
             ],
             "Resource": [
               "arn:aws:s3:::<bucket-name>",
               "arn:aws:s3:::<bucket-name>/*"
             ],
             "Condition": {
               "StringEquals": {
                 "aws:SourceAccount": "<Compte AWS>"
               },
               "ArnEquals": {
                 "aws:SourceArn": "arn:aws:application-cost-profiler:us-east-1:<Compte AWS>:*"
               }
             }
           }
         ]
       }

   Dans cette politique, vous indiquez le principal du service Application Cost Profiler (application-cost-profiler.amazonaws.com) pour distribuer les rapports dans le compartiment spécifié. Elle le fait en votre nom et inclut un en-tête avec votreCompte AWSet un ARN spécifique à votre compartiment de livraison de rapports. Pour s'assurer que Application Cost Profiler n'accède à votre compartiment que lorsqu'il agit en votre nom, leConditionvérifie la présence de ces en-têtes.

5. ChoisissezEnregistrez les modificationspour enregistrer votre stratégie, attachée à votre compartiment.

   Si vous avez créé votre compartiment à l'aide du chiffrement SSE-S3, c'est terminé. Si vous avez utilisé le chiffrement SSE-KMS, les étapes suivantes sont nécessaires pour donner accès à Application Cost Profiler à votre compartiment.

6. (Facultatif) Choisissez laPropriétéspour votre compartiment, et sousChiffrement par, sélectionnez l'Amazon Resource Name (ARN) pour votreAWS KMSclé. Cette action affiche leAWS Key Management Serviceet affiche votre clé.

7. (Facultatif) Ajoutez la stratégie pour donner accès à Application Cost Profiler auAWS KMSclé. Pour obtenir des instructions sur l'ajout de cette politique, consultezDonner accès à Application Cost Profiler aux compartiments S3 chiffrés SSE-KMS.

Donner à Application Cost Profiler l'accès à votre compartiment S3 de données d'utilisation

Le compartiment S3 que vous configurez pour Application Cost Profiler pour lire vos données d'utilisation doit être associé à une stratégie pour permettre à Application Cost Profiler de lire les objets de données d'utilisation.

Note

En donnant à Application Cost Profiler l'accès à vos données d'utilisation, vous acceptez que nous puissions copier temporairement ces objets de données d'utilisation vers l'Est des États-Unis (Virginie du Nord)Région AWSlors du traitement des rapports. Ces objets de données seront conservés dans la région US East (N. Virginia) jusqu'à ce que la génération des rapports mensuels soit terminée.

Pour donner à Application Cost Profiler l'accès à votre compartiment S3 de données d'utilisation

1. Accédez à laConsole Amazon S3et connectez-vous.

2. Tâche de sélectionCompartimentsdans la barre de navigation de gauche, puis choisissez votre compartiment dans la liste.

3. Cliquez sur l'ongletAutorisations, puis à côté deStratégie de compartiment, choisissezModifier.

4. DansStratégie, insérez la stratégie suivante. Remplacez<bucket-name>par le nom de votre compartiment, et<Compte AWS>par l'ID de votreCompte AWS.

   {
         "Version":"2008-10-17",
         "Statement":[
           {
             "Effect":"Allow",
             "Principal":{
               "Service":"application-cost-profiler.amazonaws.com"
             },
             "Action":[
               "s3:GetObject*"
             ],
             "Resource": [
               "arn:aws:s3:::<bucket-name>",
               "arn:aws:s3:::<bucket-name>/*"
             ],
             "Condition": {
               "StringEquals": {
                 "aws:SourceAccount": "<Compte AWS>"
               },
               "ArnEquals": {
                 "aws:SourceArn": "arn:aws:application-cost-profiler:us-east-1:<Compte AWS>:*"
               }
             }
           }
         ]
       }

   Dans cette politique, vous indiquez le principal du service Application Cost Profiler (application-cost-profiler.amazonaws.com) pour extraire des données d'un compartiment spécifié. Elle le fait en votre nom et inclut un en-tête avec votreCompte AWSet un ARN spécifique à votre compartiment d'utilisation. Pour s'assurer que Application Cost Profiler n'accède à votre compartiment que lorsqu'il agit en votre nom, leConditionvérifie la présence de ces en-têtes.

5. ChoisissezEnregistrez les modificationspour enregistrer votre stratégie, attachée à votre compartiment.

Si votre compartiment est chiffré avecAWS KMSclés gérées, vous devez alors donner à Application Cost Profiler l'accès à votre compartiment en suivant la procédure de la section suivante.

Donner accès à Application Cost Profiler aux compartiments S3 chiffrés SSE-KMS

Si vous chiffrez les compartiments S3 que vous configurez pour Application Cost Profiler (requis pour les compartiments de rapport) avec des clés stockées dansAWS KMS(SSE-KMS), vous devez également accorder des autorisations à Application Cost Profiler pour les déchiffrer. Pour ce faire, vous donnez accès auAWS KMSclés utilisées pour chiffrer les données.

Note

Si votre compartiment est chiffré avec des clés gérées Amazon S3, vous n'avez pas besoin de terminer cette procédure.

Pour donner accès à Application Cost Profiler àAWS KMSpour compartiments S3 chiffrés SSE-KMS

1. Accédez à laAWS KMSconsoleet connectez-vous.

2. Tâche de sélectionClés gérées par le clientdans la navigation de gauche, puis choisissez la clé qui est utilisée pour chiffrer votre compartiment dans la liste.

3. Tâche de sélectionBasculer vers la vue de stratégie d', puis choisissezModifier.

4. DansStratégie, insérez la déclaration de politique suivante.

     {
       "Effect": "Allow",
       "Principal": {
           "Service": "application-cost-profiler.amazonaws.com"
       },
       "Action": [
           "kms:Decrypt",
           "kms:GenerateDataKey*"
       ],
       "Resource": "*",
             "Condition": {
               "StringEquals": {
                 "aws:SourceAccount": "<Compte AWS>"
               },
               "ArnEquals": {
                 "aws:SourceArn": "arn:aws:application-cost-profiler:us-east-1:<Compte AWS>:*"
               }
     }

5. ChoisissezEnregistrez les modificationspour enregistrer votre stratégie, attachée à votre clé.

6. Répétez cette opération pour chaque clé qui chiffre un compartiment S3 auquel Application Cost Profiler doit accéder.

Note

Les données sont copiées depuis votre compartiment S3 lors de leur importation dans des compartiments gérés Application Cost Profiler (chiffrés). Si vous révoquez l'accès aux clés, Application Cost Profiler ne peut pas récupérer de nouveaux objets du compartiment. Toutefois, toutes les données déjà importées peuvent toujours être utilisées pour générer des rapports.