AWS-EnableS3BucketKeys

説明

AWS-EnableS3BucketKeys ランブックは、指定した Amazon Simple Storage Service (Amazon S3) バケットでバケットキーを有効にします。このバケットレベルのキーは、ライフサイクル中に新しいオブジェクトのデータキーを作成します。KmsKeyId パラメータの値を指定しない場合、Amazon S3 マネージドキー (SSE-S3) を使用したサーバー側の暗号化がデフォルトの暗号化設定に使用されます。

注記

Amazon S3 バケットキーは、 AWS Key Management Service （AWS KMS) キーによる二層式サーバー側の暗号化 (DSSE-KMS) ではサポートされていません。

このオートメーションを実行する (コンソール)

ドキュメントタイプ

Automation

[所有者]

Amazon

[Platforms] (プラットフォーム)

Linux、macOS、Windows

パラメータ

• AutomationAssumeRole

  タイプ: 文字列

  説明: (オプション) Systems Manager Automation がユーザーに代わってアクションを実行できるようにする AWS Identity and Access Management (IAM) ロールの Amazon リソースネーム (ARN)。ロールを指定しない場合、Systems Manager Automation はこのランブックを開始するユーザーのアクセス許可を使用します。

• BucketName

  タイプ: 文字列

  説明: (必須) バケットキーを有効にする S3 バケットの名前。

• KMSKeyId

  タイプ: 文字列

  説明: (オプション) サーバー側の暗号化に使用する Amazon リソースネーム (ARN)、キー ID、または AWS Key Management Service （AWS KMS) カスタマーマネージドキーのキーエイリアス。

必要な IAM アクセス許可

AutomationAssumeRole パラメータでは、ランブックを正常に使用するために、次のアクションが必要です。

• ssm:StartAutomationExecution

• ssm:GetAutomationExecution

• s3:GetEncryptionConfiguration

• s3:PutEncryptionConfiguration

ドキュメントステップ

• ChooseEncryptionType (aws:branch) - KmsKeyIdパラメータに指定された値を評価し、SSE-S3 (AES256) または SSE-KMS のどちらを使用するかを決定します。

• PutBucketKeysKMS (aws:executeAwsApi) - 指定された を使用して、指定された S3 バケットtrueの BucketKeyEnabledプロパティを に設定しますKmsKeyId。

• PutBucketKeysAES256 (aws:executeAwsApi) - AES256 暗号化で指定された S3 バケットtrueの BucketKeyEnabledプロパティを に設定します。

• VerifyS3BucketKeysEnabled (aws:assertAwsResourceProperty) - ターゲット S3 バケットでバケットキーが有効になっていることを確認します。