Politiques Amazon S3 relatives aux AWS IoT Analytics ressources

Vous pouvez stocker les messages de banque de données traités dans un compartiment Amazon S3 géré par AWS IoT Analytics ou dans un compartiment que vous gérez. Lorsque vous créez un magasin de données, sélectionnez le compartiment Amazon S3 de votre choix à l'aide du paramètre datastoreStorage API. La valeur par défaut est le compartiment Amazon S3 géré par le service.

Si vous choisissez de stocker les messages du magasin de données dans un compartiment Amazon S3 que vous gérez, vous devez AWS IoT Analytics autoriser l'exécution des actions suivantes sur votre compartiment Amazon S3 à votre place :

• s3:GetBucketLocation

• s3:PutObject

• s3:DeleteObject

Si vous utilisez le magasin de données comme source pour un ensemble de données de requêtes SQL, configurez une politique de compartiment Amazon S3 qui AWS IoT Analytics autorise l'appel de requêtes Amazon Athena sur le contenu de votre compartiment.

Note

Nous vous recommandons de le spécifier aws:SourceArn dans votre politique de compartiment afin d'éviter le problème de confusion lié à la sécurité des adjoints. Cela restreint l'accès en autorisant uniquement les demandes provenant d'un compte spécifique. Pour de plus amples informations sur le problème de l’adjoint confus, veuillez consulter Prévention du problème de l’adjoint confus entre services.

Voici un exemple de politique de compartiment qui accorde les autorisations requises.

{
    "Version": "2012-10-17",
    "Id": "MyPolicyID",
    "Statement": [
        {
            "Sid": "MyStatementSid",
            "Effect": "Allow",
            "Principal": {
                "Service": "iotanalytics.amazonaws.com"
            },
            "Action": [
                "s3:GetBucketLocation",
                "s3:GetObject",
                "s3:ListBucket",
                "s3:ListBucketMultipartUploads",
                "s3:ListMultipartUploadParts",
                "s3:AbortMultipartUpload",
                "s3:PutObject",
                "s3:DeleteObject"
            ],
            "Resource": [
                "arn:aws:s3:::DOC-EXAMPLE-BUCKET",
                "arn:aws:s3:::DOC-EXAMPLE-BUCKET/*"
            ],
            "Condition": {
                "ArnLike": {
                    "aws:SourceArn": [
                        "arn:aws:iotanalytics:us-east-1:123456789012:dataset/DOC-EXAMPLE-DATASET",
                        "arn:aws:iotanalytics:us-east-1:123456789012:datastore/DOC-EXAMPLE-DATASTORE"
                    ]
                }
            }
        }
    ]
}

Pour plus d'informations, consultez la section Accès entre comptes dans le guide de l'utilisateur d'Amazon Athena.

Note

Si vous mettez à jour les options ou les autorisations de votre magasin de données géré par le client, vous devrez peut-être retraiter les données des canaux pour vous assurer que toutes les données précédemment ingérées sont incluses dans le contenu du jeu de données. Pour plus d'informations, consultez la section Retraitement des données de canal.