Autorizzazioni di esportazione del diario in QLDB

Prima di inviare una richiesta di esportazione del journal in Amazon QLDB, devi fornire a QLDB le autorizzazioni di scrittura nel bucket Amazon S3 specificato. Se scegli un client managed AWS KMS key come tipo di crittografia degli oggetti per il tuo bucket Amazon S3, devi anche fornire a QLDB le autorizzazioni per utilizzare la chiave di crittografia simmetrica specificata. Amazon S3 non supporta chiavi KMS asimmetriche.

Per fornire al processo di esportazione le autorizzazioni necessarie, puoi fare in modo che QLDB assuma un ruolo di servizio IAM con le politiche di autorizzazione appropriate. Un ruolo di servizio è un ruolo IAM che un servizio assume per eseguire operazioni per tuo conto. Un amministratore IAM può creare, modificare ed eliminare un ruolo di servizio dall'interno di IAM. Per ulteriori informazioni, consulta la sezione Creazione di un ruolo per delegare le autorizzazioni a un Servizio AWS nella Guida per l'utente di IAM.

Nota

Per passare un ruolo a QLDB quando si richiede l'esportazione di un journal, è necessario disporre delle autorizzazioni per eseguire iam:PassRole l'azione sulla risorsa del ruolo IAM. Ciò si aggiunge all'qldb:ExportJournalToS3autorizzazione sulla risorsa di registro QLDB.

Per informazioni su come controllare l'accesso a QLDB utilizzando IAM, consulta. Come funziona Amazon QLDB con IAM Per un esempio di policy QLDB, vedere. Esempi di policy basate sull'identità per Amazon QLDB

In questo esempio, crei un ruolo che consente a QLDB di scrivere oggetti in un bucket Amazon S3 per tuo conto. Per ulteriori informazioni, consulta la sezione Creazione di un ruolo per delegare le autorizzazioni a un Servizio AWS nella Guida per l'utente di IAM.

Se stai esportando un journal QLDB per Account AWS la prima volta, devi prima creare un ruolo IAM con le politiche appropriate procedendo come segue. In alternativa, puoi utilizzare la console QLDB per creare automaticamente il ruolo per te. Altrimenti, puoi scegliere un ruolo che hai creato in precedenza.

Creazione di una policy di autorizzazione

Completa i seguenti passaggi per creare una politica di autorizzazioni per un processo di esportazione di diari QLDB. Questo esempio mostra una policy sui bucket di Amazon S3 che concede le autorizzazioni QLDB per scrivere oggetti nel bucket specificato. Se applicabile, l'esempio mostra anche una politica chiave che consente a QLDB di utilizzare la chiave KMS di crittografia simmetrica.

Per ulteriori informazioni sulle policy dei bucket di Amazon S3, consulta Using bucket policy e user policy nella Amazon Simple Storage Service User Guide. Per ulteriori informazioni sulle politiche AWS KMS chiave, consulta Using key policy AWS KMS nella Developer Guide.AWS Key Management Service

Nota

Il bucket Amazon S3 e la chiave KMS devono trovarsi entrambi nello stesso registro QLDB Regione AWS .

Come utilizzare l'editor di policy JSON per creare una policy

1. Accedi AWS Management Console e apri la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

2. Nel riquadro di navigazione a sinistra, seleziona Policies (Policy).

   Se è la prima volta che selezioni Policy, verrà visualizzata la pagina Benvenuto nelle policy gestite. Seleziona Inizia.

3. Nella parte superiore della pagina, scegli Crea policy.

4. Scegli la scheda JSON.

5. Specificare un documento della policy JSON.

   • Se utilizzi una chiave KMS gestita dal cliente per la crittografia degli oggetti Amazon S3, utilizza il seguente documento di policy di esempio. Per utilizzare questa politica, sostituisci DOC-EXAMPLE-BUCKET, us-east-1, 123456789012 e 1234abcd-12ab-34cd-56ef-1234567890ab nell'esempio con le tue informazioni.

     {
         "Version": "2012-10-17",
         "Statement": [
             {
                 "Sid": "QLDBJournalExportS3Permission",
                 "Action": [
                     "s3:PutObjectAcl",
                     "s3:PutObject"
                 ],
                 "Effect": "Allow",
                 "Resource": "arn:aws:s3:::DOC-EXAMPLE-BUCKET/*"
             },
             {
                 "Sid": "QLDBJournalExportKMSPermission",
                 "Action": [ "kms:GenerateDataKey" ],
                 "Effect": "Allow",
                 "Resource": "arn:aws:kms:us-east-1:123456789012:key/1234abcd-12ab-34cd-56ef-1234567890ab"
             }
         ]
     }

   • Per altri tipi di crittografia, utilizzare il seguente documento di policy di esempio. Per utilizzare questa politica, sostituisci DOC-EXAMPLE-BUCKET nell'esempio con il tuo nome di bucket Amazon S3.

     {
         "Version": "2012-10-17",
         "Statement": [
             {
                 "Sid": "QLDBJournalExportS3Permission",
                 "Action": [
                     "s3:PutObjectAcl",
                     "s3:PutObject"
                 ],
                 "Effect": "Allow",
                 "Resource": "arn:aws:s3:::DOC-EXAMPLE-BUCKET/*"
             }
         ]
     }

6. Scegli Verifica policy.

   Nota

   È possibile passare tra le schede Visual editor (Editor visivo) e JSON in qualsiasi momento. Se tuttavia si apportano modifiche o se si seleziona Review policy (Rivedi policy) nella scheda Visual editor (Editor visivo), IAM potrebbe modificare la policy per ottimizzarla per l'editor visivo. Per ulteriori informazioni, consulta Modifica della struttura delle policy nella Guida per l'utente di IAM.

7. Nella pagina Review policy (Rivedi policy), inserisci i valori per Name (Nome) e Description (Descrizione) (facoltativa) per la policy che stai creando. Consulta il Summary (Riepilogo) della policy per visualizzare le autorizzazioni concesse dalla policy. Seleziona Create policy (Crea policy) per salvare il proprio lavoro.

Creazione di un ruolo IAM

Dopo aver creato una politica di autorizzazioni per il tuo processo di esportazione di riviste QLDB, puoi quindi creare un ruolo IAM e allegare la tua policy ad esso.

Per creare il ruolo di servizio per QLDB (console IAM)

1. Accedi AWS Management Console e apri la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

2. Nel pannello di navigazione della console IAM, scegliere Ruoli e quindi Crea ruolo.

3. Per Trusted entity type (Tipo di entità attendibile), scegli Servizio AWS.

4. Per Servizio o caso d'uso, scegli QLDB, quindi scegli lo use case QLDB.

5. Seleziona Successivo.

6. Seleziona la casella accanto alla politica che hai creato nei passaggi precedenti.

7. (Facoltativo) Impostare un limite delle autorizzazioni. Questa è una caratteristica avanzata disponibile per i ruoli di servizio, ma non per i ruoli collegati ai servizi.

   1. Apri la sezione Imposta i limiti delle autorizzazioni, quindi scegli Usa un limite di autorizzazioni per controllare il numero massimo di autorizzazioni per i ruoli.

      IAM include un elenco delle politiche AWS gestite e gestite dal cliente nel tuo account.

   2. Selezionare la policy da utilizzare per il limite delle autorizzazioni.

8. Seleziona Successivo.

9. Inserisci il nome del ruolo o il suffisso del nome del ruolo per aiutarti a identificare lo scopo del ruolo.

   Importante

   Quando assegnate un nome a un ruolo, tenete presente quanto segue:

   • I nomi dei ruoli devono essere univoci all'interno del tuo Account AWS account e non possono essere resi unici per caso.

     Ad esempio, non creare ruoli denominati entrambi PRODROLE eprodrole. Quando un nome di ruolo viene utilizzato in una policy o come parte di un ARN, il nome del ruolo fa distinzione tra maiuscole e minuscole, tuttavia quando un nome di ruolo viene visualizzato dai clienti nella console, ad esempio durante il processo di accesso, il nome del ruolo non fa distinzione tra maiuscole e minuscole.

   • Non è possibile modificare il nome del ruolo dopo averlo creato perché altre entità potrebbero fare riferimento al ruolo.

10. (Facoltativo) In Descrizione, inserisci una descrizione per il ruolo.

11. (Facoltativo) Per modificare i casi d'uso e le autorizzazioni per il ruolo, nelle sezioni Passo 1: Seleziona entità attendibili o Passaggio 2: Aggiungi autorizzazioni, scegli Modifica.

12. (Facoltativo) Per facilitare l'identificazione, l'organizzazione o la ricerca del ruolo, aggiungi tag come coppie chiave-valore. Per ulteriori informazioni sull'utilizzo di tag in IAM, consulta la sezione Applicazione di tag alle risorse IAM nella Guida per l'utente di IAM.

13. Verificare il ruolo e quindi scegliere Create role (Crea ruolo).

Il seguente documento JSON è un esempio di policy di fiducia che consente a QLDB di assumere un ruolo IAM con autorizzazioni specifiche associate.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "qldb.amazonaws.com"
            },
            "Action": [ "sts:AssumeRole" ],
            "Condition": {
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:qldb:us-east-1:123456789012:*"
                },
                "StringEquals": {
                    "aws:SourceAccount": "123456789012"
                }
            }
        }
    ]
}

Nota

Questo esempio di politica di fiducia mostra come utilizzare le chiavi di contesto aws:SourceArn e di contesto della condizione aws:SourceAccount globale per evitare il confuso problema del vice. Con questa politica di fiducia, QLDB può assumere il ruolo di qualsiasi risorsa QLDB solo nell'account. 123456789012

Per ulteriori informazioni, consulta Prevenzione del confused deputy tra servizi.

Dopo aver creato il tuo ruolo IAM, torna alla console QLDB e aggiorna la pagina Crea processo di esportazione in modo che possa trovare il tuo nuovo ruolo.