Importa con successo un bucket S3 come stack AWS CloudFormation

PDF

Creato da Ram Kandaswamy (AWS)

Riepilogo

Se utilizzi risorse Amazon Web Services (AWS), come i bucket Amazon Simple Storage Service (Amazon S3), e desideri utilizzare un approccio infrastructure-as code (IaC), puoi importare le tue risorse in CloudFormation AWS e gestirle come uno stack.

Questo modello fornisce i passaggi per importare correttamente un bucket S3 come stack CloudFormation AWS. Utilizzando l'approccio di questo modello, puoi evitare possibili errori che potrebbero verificarsi se importi il bucket S3 con una singola azione.

Prerequisiti e limitazioni

Prerequisiti

• Un account AWS attivo.

• Una policy esistente per i bucket S3 e i bucket S3. Per ulteriori informazioni su questo argomento, consulta Quale policy sui bucket S3 devo usare per rispettare la regola AWS Config s3- bucket-ssl-requests-only nell'AWS Knowledge Center.

• Una chiave AWS Key Management Service (AWS KMS) esistente e il relativo alias. Per ulteriori informazioni su questo argomento, consulta Lavorare con gli alias nella documentazione di AWS KMS.

• Il CloudFormation modello CloudFormation-template-S3-bucket AWS di esempio (allegato), scaricato sul tuo computer locale.

Architettura

Il diagramma mostra il flusso di lavoro seguente:

1. L'utente crea un modello AWS in formato JSON o YAML. CloudFormation

2. Il modello crea uno CloudFormation stack AWS per importare il bucket S3.

3. Lo CloudFormation stack AWS gestisce il bucket S3 specificato nel modello.

Stack tecnologico

• AWS CloudFormation

• AWS Identity and Access Management (IAM)

• AWS KMS

• Amazon S3

Strumenti

• AWS CloudFormation: AWS ti CloudFormation aiuta a creare e fornire distribuzioni di infrastrutture AWS in modo prevedibile e ripetuto.

• AWS Identity and Access Management (IAM): IAM è un servizio Web per controllare in modo sicuro l'accesso ai servizi AWS.

• AWS KMS — AWS Key Management Service (AWS KMS) è un servizio di crittografia e gestione delle chiavi scalato per il cloud.

• Amazon S3 — Amazon Simple Storage Service (Amazon S3) è uno storage per Internet.

Epiche

Importa un bucket S3 con crittografia AWS KMS key basata su uno stack AWS CloudFormation

Attività	Descrizione	Competenze richieste
Crea un modello per importare il bucket S3 e la chiave KMS.	Sul tuo computer locale, crea un modello per importare il bucket S3 e la chiave KMS utilizzando il seguente modello di esempio: AWSTemplateFormatVersion: 2010-09-09 Parameters: bucketName: Type: String Resources: S3Bucket: Type: 'AWS::S3::Bucket' DeletionPolicy: Retain Properties: BucketName: !Ref bucketName BucketEncryption: ServerSideEncryptionConfiguration: - ServerSideEncryptionByDefault: SSEAlgorithm: 'aws:kms' KMSMasterKeyID: !GetAtt - KMSS3Encryption - Arn KMSS3Encryption: Type: 'AWS::KMS::Key' DeletionPolicy: Retain Properties: Enabled: true KeyPolicy: !Sub |- { "Id": "key-consolepolicy-3", "Version": "2012-10-17", "Statement": [ { "Sid": "Enable IAM User Permissions", "Effect": "Allow", "Principal": { "AWS": ["arn:aws:iam::${AWS::AccountId}:root"] }, "Action": "kms:*", "Resource": "*" } } ] } EnableKeyRotation: true	AWS DevOps
Creare lo stack.	Accedi alla Console di gestione AWS, apri la CloudFormation console AWS, scegli Visualizza stack, scegli Crea stack, quindi scegli Con risorse esistenti (importa risorse). Scegli Carica un file modello, quindi carica il file modello che hai creato in precedenza. Inserisci un nome per lo stack e configura le opzioni rimanenti in base alle tue esigenze. Scegli Crea stack e attendi che lo stato dello stack cambi a. IMPORT_COMPLETE	AWS DevOps
Crea l'alias della chiave KMS.	Sulla CloudFormation console AWS, scegli Stacks, scegli il nome dello stack che hai creato in precedenza, scegli il riquadro Template, quindi scegli Visualizza in Designer. Aggiungi il seguente frammento alla Resource sezione del modello, quindi scegli Create stack e completa la procedura guidata: KMSS3EncryptionAlias: Type: 'AWS::KMS::Alias' DeletionPolicy: Retain Properties: AliasName: alias/S3BucketKey TargetKeyId: !Ref KMSS3Encryption Per ulteriori informazioni a riguardo, consulta AWS CloudFormation stack updates nella CloudFormation documentazione AWS.	AWS DevOps
Aggiorna lo stack per includere la policy sui bucket S3.	Sulla CloudFormation console AWS, scegli Stacks, scegli il nome dello stack che hai creato in precedenza, scegli il riquadro Template, quindi scegli Visualizza in Designer. Aggiungi il seguente frammento alla Resource sezione del modello, quindi scegli Create stack e completa la procedura guidata: S3BucketPolicy: Type: 'AWS::S3::BucketPolicy' Properties: Bucket: !Ref S3Bucket PolicyDocument: !Sub |- { "Version": "2008-10-17", "Id": "restricthttp", "Statement": [ { "Sid": "denyhttp", "Effect": "Deny", "Principal": { "AWS": "*" }, "Action": "s3:*", "Resource": ["arn:aws:s3:::${S3Bucket}","arn:aws:s3:::${S3Bucket}/*"], "Condition": { "Bool": { "aws:SecureTransport": "false" } } } ] } Nota Questa policy sui bucket S3 include una dichiarazione di negazione che limita le chiamate API che non sono sicure.	AWS DevOps
Aggiorna la politica chiave.	Sulla CloudFormation console AWS, scegli Stacks, scegli il nome dello stack che hai creato in precedenza, scegli il riquadro Template, quindi scegli Visualizza in Designer. Modifica la risorsa KMS del modello per includere la policy chiave che consente agli amministratori di amministrare la chiave KMS. Scegli Crea stack, scegli Avanti, quindi completa la procedura guidata in base alle tue esigenze. Per ulteriori informazioni, consulta le politiche chiave AWS KMS nella documentazione di AWS KMS.	Amministratore AWS
Aggiungi tag a livello di risorsa.	Sulla CloudFormation console AWS, scegli Stacks, scegli il nome dello stack che hai creato in precedenza, scegli il riquadro Template, quindi scegli Visualizza in Designer. Aggiungi il seguente frammento alla sezione Properties delle risorse Amazon S3 del modello, quindi scegli Crea stack e completa la procedura guidata: Tags: - Key: createdBy Value: Cloudformation	AWS DevOps

Importa un bucket S3 con crittografia AWS KMS key basata su uno stack AWS CloudFormation

Attività	Descrizione	Competenze richieste
Crea un modello per importare il bucket S3 e la chiave KMS.	Sul tuo computer locale, crea un modello per importare il bucket S3 e la chiave KMS utilizzando il seguente modello di esempio: AWSTemplateFormatVersion: 2010-09-09 Parameters: bucketName: Type: String Resources: S3Bucket: Type: 'AWS::S3::Bucket' DeletionPolicy: Retain Properties: BucketName: !Ref bucketName BucketEncryption: ServerSideEncryptionConfiguration: - ServerSideEncryptionByDefault: SSEAlgorithm: 'aws:kms' KMSMasterKeyID: !GetAtt - KMSS3Encryption - Arn KMSS3Encryption: Type: 'AWS::KMS::Key' DeletionPolicy: Retain Properties: Enabled: true KeyPolicy: !Sub |- { "Id": "key-consolepolicy-3", "Version": "2012-10-17", "Statement": [ { "Sid": "Enable IAM User Permissions", "Effect": "Allow", "Principal": { "AWS": ["arn:aws:iam::${AWS::AccountId}:root"] }, "Action": "kms:*", "Resource": "*" } } ] } EnableKeyRotation: true	AWS DevOps
Creare lo stack.	Accedi alla Console di gestione AWS, apri la CloudFormation console AWS, scegli Visualizza stack, scegli Crea stack, quindi scegli Con risorse esistenti (importa risorse). Scegli Carica un file modello, quindi carica il file modello che hai creato in precedenza. Inserisci un nome per lo stack e configura le opzioni rimanenti in base alle tue esigenze. Scegli Crea stack e attendi che lo stato dello stack cambi a. IMPORT_COMPLETE	AWS DevOps
Crea l'alias della chiave KMS.	Sulla CloudFormation console AWS, scegli Stacks, scegli il nome dello stack che hai creato in precedenza, scegli il riquadro Template, quindi scegli Visualizza in Designer. Aggiungi il seguente frammento alla Resource sezione del modello, quindi scegli Create stack e completa la procedura guidata: KMSS3EncryptionAlias: Type: 'AWS::KMS::Alias' DeletionPolicy: Retain Properties: AliasName: alias/S3BucketKey TargetKeyId: !Ref KMSS3Encryption Per ulteriori informazioni a riguardo, consulta AWS CloudFormation stack updates nella CloudFormation documentazione AWS.	AWS DevOps
Aggiorna lo stack per includere la policy sui bucket S3.	Sulla CloudFormation console AWS, scegli Stacks, scegli il nome dello stack che hai creato in precedenza, scegli il riquadro Template, quindi scegli Visualizza in Designer. Aggiungi il seguente frammento alla Resource sezione del modello, quindi scegli Create stack e completa la procedura guidata: S3BucketPolicy: Type: 'AWS::S3::BucketPolicy' Properties: Bucket: !Ref S3Bucket PolicyDocument: !Sub |- { "Version": "2008-10-17", "Id": "restricthttp", "Statement": [ { "Sid": "denyhttp", "Effect": "Deny", "Principal": { "AWS": "*" }, "Action": "s3:*", "Resource": ["arn:aws:s3:::${S3Bucket}","arn:aws:s3:::${S3Bucket}/*"], "Condition": { "Bool": { "aws:SecureTransport": "false" } } } ] } Nota Questa policy sui bucket S3 include una dichiarazione di negazione che limita le chiamate API che non sono sicure.	AWS DevOps
Aggiorna la politica chiave.	Sulla CloudFormation console AWS, scegli Stacks, scegli il nome dello stack che hai creato in precedenza, scegli il riquadro Template, quindi scegli Visualizza in Designer. Modifica la risorsa KMS del modello per includere la policy chiave che consente agli amministratori di amministrare la chiave KMS. Scegli Crea stack, scegli Avanti, quindi completa la procedura guidata in base alle tue esigenze. Per ulteriori informazioni, consulta le politiche chiave AWS KMS nella documentazione di AWS KMS.	Amministratore AWS
Aggiungi tag a livello di risorsa.	Sulla CloudFormation console AWS, scegli Stacks, scegli il nome dello stack che hai creato in precedenza, scegli il riquadro Template, quindi scegli Visualizza in Designer. Aggiungi il seguente frammento alla sezione Properties delle risorse Amazon S3 del modello, quindi scegli Crea stack e completa la procedura guidata: Tags: - Key: createdBy Value: Cloudformation	AWS DevOps

Risorse correlate

• Inserimento delle risorse esistenti nella CloudFormation gestione di AWS

• AWS re:Invent 2017: approfondimento su CloudFormation AWS (video)

Allegati

Per accedere a contenuti aggiuntivi associati a questo documento, decomprimi il seguente file: attachment.zip