Configurazione dei bucket Amazon S3 per Application Cost Profiler

Per inviare dati di utilizzo e ricevere report daAWSApplication Cost Profiler, devi avere almeno un bucket Amazon Simple Storage Service (Amazon S3) nel tuoAccount AWSper archiviare i dati e un bucket S3 per ricevere i tuoi report.

Nota

Per utenti diAWS Organizations, i bucket Amazon S3 possono trovarsi nell'account di gestione o in singoli account membri. I dati nei bucket S3 di proprietà dell'account di gestione possono essere utilizzati per generare report per l'intera organizzazione. Nei singoli account membri, i dati nei bucket S3 possono essere utilizzati solo per generare report per quell'account membro.

I bucket S3 creati sono di proprietà delAccount AWSin cui li crei. I bucket S3 vengono fatturati alle tariffe standard Amazon S3. Per ulteriori informazioni su come creare un bucket Amazon S3, consultaCreazione di un bucketnellaGuida dell'utente Amazon Simple Storage Service.

Affinché Application Cost Profiler utilizzi i bucket S3, ai bucket devi collegare una policy che consenta a Profiler dei costi dell'applicazione di leggere e/o scrivere nel bucket. Se si modifica il criterio dopo la configurazione dei report, è possibile impedire a Application Cost Profiler di leggere i dati di utilizzo o di consegnare i report.

Negli argomenti seguenti viene illustrato come configurare le autorizzazioni per i bucket Amazon S3 dopo averli creati. Oltre alla possibilità di leggere e scrivere oggetti, se sono stati crittografati i bucket, Application Cost Profiler deve avere accesso alAWS Key Management Service(AWS KMS) chiave per ogni secchio.

Fornire ad Application Cost Profiler l'accesso al bucket S3 di consegna del report

Il bucket S3 configurato per Application Cost Profiler per la consegna dei report deve avere un criterio che consenta a Application Cost Profiler di creare gli oggetti del report. Inoltre, il bucket S3 deve essere configurato per abilitare la crittografia.

Nota

Quando crei il bucket, devi scegliere di crittografarlo. Puoi scegliere di crittografare il bucket con le chiavi gestite da Amazon S3 (SSE-S3) o con la tua chiave gestita daAWS KMS(SSE-KMS). Se hai già creato il bucket senza crittografia, devi modificare il bucket per aggiungere la crittografia.

Per dare all'Application Cost Profiler l'accesso al bucket S3 di consegna del report

1. Accedi aConsole Amazon S3e effettua l'accesso.

2. SelezionaBucketdalla navigazione a sinistra, quindi scegli il bucket dall'elenco.

3. SelezionaAutorizzazionitab, quindi, accanto aPolicy del bucket, scegliModificare.

4. NellaPolicynella sezione, inserire la policy seguente. Replace (Sostituisci)<bucket_name>con il nome del tuo bucket<Account AWS>con l'ID del tuoAccount AWS.

   {
         "Version":"2008-10-17",
         "Statement":[
           {
             "Effect":"Allow",
             "Principal":{
               "Service":"application-cost-profiler.amazonaws.com"
             },
             "Action":[
               "s3:PutObject*",
               "s3:GetEncryptionConfiguration"
             ],
             "Resource": [
               "arn:aws:s3:::<bucket-name>",
               "arn:aws:s3:::<bucket-name>/*"
             ],
             "Condition": {
               "StringEquals": {
                 "aws:SourceAccount": "<Account AWS>"
               },
               "ArnEquals": {
                 "aws:SourceArn": "arn:aws:application-cost-profiler:us-east-1:<Account AWS>:*"
               }
             }
           }
         ]
       }

   In questa politica si sta fornendo l'entità del servizio Application Cost Profiler (application-cost-profiler.amazonaws.com) l'accesso a report nel bucket specificato. Lo fa a tuo nome, e include un'intestazione con il tuoAccount AWSe un ARN specifico per il periodo fisso di consegna del report. Per garantire che Application Cost Profiler acceda al tuo bucket solo quando agisce per tuo conto, ilConditioncontrolla le intestazioni.

5. ScegliereSalva le modificheper salvare la tua polizza, allegata al tuo bucket.

   Se hai creato il tuo bucket utilizzando la crittografia SSE-S3, hai finito. Se hai utilizzato la crittografia SSE-KMS, sono necessari i seguenti passaggi per consentire all'Application Cost Profiler l'accesso al tuo bucket.

6. (Facoltativo) SelezionareProprietàper il bucket, e sottocrittografia di default, seleziona l'Amazon Resource Name (ARN) perAWS KMSchiave. Questa azione visualizza ilAWS Key Management Serviceconsole e mostra la tua chiave.

7. (Facoltativo) Aggiungere il criterio per consentire a Application Cost Profiler l'accesso alAWS KMSchiave. Per istruzioni sull'aggiunta di questa policy, consultaFornire l'accesso a Application Cost Profiler ai bucket S3 crittografati SSE-KMS.

Fornire a Application Cost Profiler l'accesso al bucket S3 dei dati di utilizzo

Il bucket S3 configurato per la lettura dei dati di utilizzo di Application Cost Profiler deve avere un criterio per consentire a Application Cost Profiler di leggere gli oggetti dati di utilizzo.

Nota

Concedendo a Application Cost Profiler l'accesso ai dati di utilizzo dell'utente, accetti che possiamo copiare temporaneamente tali oggetti dati di utilizzo negli Stati Uniti orientali (Virginia settentrionale)Regione AWSdurante l'elaborazione dei report. Questi oggetti di dati saranno conservati nella regione Stati Uniti orientali (Virginia settentrionale) fino al completamento della generazione dei report mensili.

Per dare ad Application Cost Profiler l'accesso al bucket S3 dei dati di utilizzo

1. Accedi aConsole Amazon S3e effettua l'accesso.

2. SelezionaBucketdalla navigazione a sinistra, quindi scegli il bucket dall'elenco.

3. SelezionaAutorizzazionitab, quindi, accanto aPolicy del bucket, scegliModificare.

4. NellaPolicynella sezione, inserire la policy seguente. Replace (Sostituisci)<bucket-name>con il nome del tuo bucket<Account AWS>con l'ID del tuoAccount AWS.

   {
         "Version":"2008-10-17",
         "Statement":[
           {
             "Effect":"Allow",
             "Principal":{
               "Service":"application-cost-profiler.amazonaws.com"
             },
             "Action":[
               "s3:GetObject*"
             ],
             "Resource": [
               "arn:aws:s3:::<bucket-name>",
               "arn:aws:s3:::<bucket-name>/*"
             ],
             "Condition": {
               "StringEquals": {
                 "aws:SourceAccount": "<Account AWS>"
               },
               "ArnEquals": {
                 "aws:SourceArn": "arn:aws:application-cost-profiler:us-east-1:<Account AWS>:*"
               }
             }
           }
         ]
       }

   In questa politica si sta fornendo l'entità del servizio Application Cost Profiler (application-cost-profiler.amazonaws.com) per estrarre i dati dal bucket specificato. Lo fa a tuo nome, e include un'intestazione con il tuoAccount AWSe un ARN specifico per il tuo secchio d'uso. Per garantire che Application Cost Profiler acceda al tuo bucket solo quando agisce per tuo conto, ilConditioncontrolla le intestazioni.

5. ScegliereSalva le modificheper salvare la tua polizza, allegata al tuo bucket.

Se il bucket è crittografato conAWS KMSchiavi gestite, quindi è necessario concedere ad Application Cost Profiler l'accesso al bucket seguendo la procedura nella sezione successiva.

Fornire l'accesso a Application Cost Profiler ai bucket S3 crittografati SSE-KMS

Se si crittografano i bucket S3 configurati per Application Cost Profiler (necessari per i bucket di report) con le chiavi memorizzate inAWS KMS(SSE-KMS), è inoltre necessario concedere le autorizzazioni a Application Cost Profiler per decrittografarli. Lo fai dando accesso alAWS KMSchiavi utilizzate per crittografare i dati.

Nota

Se il bucket è crittografato con le chiavi gestite di Amazon S3, non è necessario completare questa procedura.

Per dare accesso a Application Cost ProfilerAWS KMSper bucket S3 crittografati SSE-KMS

1. Accedi aAWS KMSplanciae effettua l'accesso.

2. SelezionaChiavi gestite dal clientedalla navigazione a sinistra, quindi scegliere la chiave utilizzata per crittografare il bucket dall'elenco.

3. SelezionaPassa alla visualizzazione policy, quindi scegliModificare.

4. NellaPolicy, inserire la seguente dichiarazione policy.

     {
       "Effect": "Allow",
       "Principal": {
           "Service": "application-cost-profiler.amazonaws.com"
       },
       "Action": [
           "kms:Decrypt",
           "kms:GenerateDataKey*"
       ],
       "Resource": "*",
             "Condition": {
               "StringEquals": {
                 "aws:SourceAccount": "<Account AWS>"
               },
               "ArnEquals": {
                 "aws:SourceArn": "arn:aws:application-cost-profiler:us-east-1:<Account AWS>:*"
               }
     }

5. ScegliereSalva le modificheper salvare la tua politica, allegata alla tua chiave.

6. Ripetere per ogni chiave che crittografa un bucket S3 a cui Application Cost Profiler deve accedere.

Nota

I dati vengono copiati dal bucket S3 durante l'importazione nei bucket gestiti di Application Cost Profiler (crittografati). Se si revoca l'accesso alle chiavi, Application Cost Profiler non è in grado di recuperare nuovi oggetti dal bucket. Tuttavia, tutti i dati già importati possono ancora essere utilizzati per generare report.