Configuration d’Amazon S3 Inventory

Pour accorder les autorisations Amazon S3 pour le chiffrement à l’aide de votre clé gérée par le client

1. Avec le Compte AWS auquel appartient la clé gérée par le client, connectez-vous à la AWS Management Console.

2. Ouvrez la console AWS KMS à l’adresse https://console.aws.amazon.com/kms.

3. Pour changer de Région AWS, utilisez le sélecteur de région dans l’angle supérieur droit de la page.

4. Dans le volet de navigation de gauche, choisissez Clés gérées par le client.

5. Sous Clés gérées par le client, choisissez la clé gérée par le client que vous souhaitez utiliser pour chiffrer vos fichiers d’inventaire.

6. Dans la section Key policy (Politique de clé), sélectionnez Switch to policy view (Passer à la vue de politique).

7. Pour mettre à jour la politique de clé, choisissez Modifier.

8. Sous Modifier la stratégie de clé, ajoutez les lignes suivantes à la stratégie de clé existante. Pour source-account-id et amzn-s3-demo-source-bucket, fournissez les valeurs appropriées pour votre cas d’utilisation.

   {
       "Sid": "Allow Amazon S3 use of the customer managed key",
       "Effect": "Allow",
       "Principal": {
           "Service": "s3.amazonaws.com"
       },
       "Action": [
           "kms:GenerateDataKey"
       ],
       "Resource": "*",
       "Condition":{
         "StringEquals":{
            "aws:SourceAccount":"source-account-id"
        },
         "ArnLike":{
           "aws:SourceARN": "arn:aws:s3:::amzn-s3-demo-source-bucket"
        }
      }
   }

9. Sélectionnez Save Changes.

Suivez ces instructions pour configurer l’inventaire à l’aide de la console S3.

1. Connectez-vous à la AWS Management Console et ouvrez la console Amazon S3 à l’adresse https://console.aws.amazon.com/s3/.

2. Dans le volet de navigation de gauche, choisissez Compartiments à usage général.

3. Dans la liste des compartiments, choisissez le nom du compartiment pour lequel vous souhaitez configurer Amazon S3 Inventory.

4. Choisissez l’onglet Gestion.

5. Sous Configurations d’inventaire, choisissez Créer une configuration d’inventaire.

6. Dans Nom de la configuration d’inventaire, saisissez un nom.

7. Pour Portée de l’inventaire, procédez comme suit :

   • Entrez un préfixe facultatif.

   • Choisissez les versions d’objet à inclure, soit Versions actuelles uniquement, soit Inclure toutes les versions.

8. Sous Report details (Détails du rapport), choisissez l’emplacement du Compte AWS où vous souhaitez enregistrer les rapports : This account (Ce compte) ou A different account (Un compte différent).

9. Sous Destination, choisissez le compartiment de destination dans lequel vous souhaitez que les rapports d’inventaire soient enregistrés.

   Le compartiment de destination doit se trouver dans la même Région AWS que le compartiment pour lequel vous configurez l’inventaire. Le compartiment de destination peut se trouver dans un autre Compte AWS. Lorsque vous spécifiez le compartiment de destination, vous pouvez également inclure un préfixe facultatif pour regrouper vos rapports d’inventaire.

   Sous le champ de compartiment Destination vous voyez la déclaration Autorisation de compartiment de destination qui est ajoutée à la stratégie de compartiment de destination pour permettre à Amazon S3 de placer des données dans ce compartiment. Pour plus d’informations, consultez Création d’une stratégie de compartiment de destination.

10. Sous Fréquence, choisissez la fréquence à laquelle le rapport sera généré : Quotidien ou Hebdomadaire.

11. Dans Format de sortie, choisissez l’un des formats suivants pour le rapport :

    • CSV : si vous prévoyez d’utiliser ce rapport d’inventaire avec S3 Batch Operations ou si vous souhaitez analyser ce rapport dans un autre outil, tel que Microsoft Excel, choisissez CSV.

    • Apache ORC

    • Apache Parquet

12. Sous Status (Statut), choisissez Enable (Activer) ou Disable (Désactiver).

13. Pour configurer le chiffrement côté serveur, sous Chiffrement des rapports d’inventaire, procédez comme suit :

    1. Sous Chiffrement côté serveur, choisissez Ne pas spécifier de clé de chiffrement ou Spécifier une clé de chiffrement pour chiffrer les données.

       • Pour conserver les paramètres du compartiment pour le chiffrement côté serveur par défaut des objets lors de leur stockage dans Amazon S3, choisissez Ne pas spécifier de clé de chiffrement. Tant que les clés de compartiment S3 sont activées pour la destination du compartiment, l’opération de copie applique une clé de compartiment S3 au compartiment de destination.

         Note

         Si la stratégie de compartiment pour la destination spécifiée exige que les objets soient chiffrés avant de les stocker dans Amazon S3, vous devez choisir Spécifier une clé de chiffrement. Sinon, la copie des objets vers la destination échouera.

       • Pour chiffrer des objets avant de les stocker dans Amazon S3, choisissez Spécifier une clé de chiffrement.

    2. Si vous avez choisi Spécifier une clé de chiffrement, sous Type de chiffrement, vous devez choisir Clé gérée par Amazon S3 (SSE-S3) ou Clé AWS Key Management Service (SSE-KMS).

       SSE-S3 utilise l’un des chiffrements par bloc les plus puissants qui existent, Advanced Encryption Standard à 256 bits (AES-256) pour chiffrer chaque objet. SSE-KMS vous permet de mieux contrôler votre clé. Pour en savoir plus sur SSE-S3, consultez Utilisation du chiffrement côté serveur avec des clés gérées par Amazon S3 (SSE-S3). Pour en savoir plus sur SSE-KMS, consultez Utilisation du chiffrement côté serveur avec des clés AWS KMS (SSE-KMS).

       Note

       Pour chiffrer le fichier de liste d’inventaire avec SSE-KMS, vous devez autoriser Amazon S3 à utiliser la clé gérée par le client. Pour obtenir des instructions, consultez Octroyer à Amazon S3 l’autorisation d’utiliser vos clés KMS pour le chiffrement.

    3. Si vous avez choisi Clé AWS Key Management Service (SSE-KMS), sous AWS KMS key, vous pouvez spécifier votre clé AWS KMS via l’une des options suivantes.

       Note

       Si le compartiment de destination qui stocke le fichier de liste d’inventaire appartient à un autre Compte AWS, assurez-vous d’utiliser un ARN de clé KMS complet pour spécifier votre clé KMS.

       • Pour choisir parmi une liste de clés KMS disponibles, choisissez Choisir parmi vos clés AWS KMS, puis sélectionnez une clé KMS de chiffrement symétrique parmi la liste des clés disponibles. Vérifiez que la clé KMS se situe dans la même région que votre compartiment.

         Note

         La Clé gérée par AWS (aws/s3) et votre clé gérée par le client apparaissent toutes deux dans la liste. Cependant, la Clé gérée par AWS (aws/s3) n’est pas prise en charge pour le chiffrement SSE-KMS avec S3 Inventory.

       • Pour saisir l’ARN de la clé KMS, choisissez Saisir l’ARN de clé AWS KMS, puis saisissez l’ARN de votre clé KMS dans le champ qui s’affiche.

       • Pour créer une clé gérée par le client dans la console AWS KMS, choisissez Créer une clé KMS.

14. Pour Champs de métadonnées supplémentaires, sélectionnez un ou plusieurs des éléments suivants à ajouter au rapport d’inventaire :

    • Taille : la taille de l’objet en octets, à l’exclusion de la taille des chargements partitionnés incomplets, des métadonnées de l’objet et des marqueurs de suppression.

    • Date de la dernière modification – Date de création de l’objet ou date de la dernière modification, la plus récente étant retenue.

    • Multipart upload (Chargement partitionné) – Spécifie que l’objet a été chargé dans un chargement partitionné. Pour plus d’informations, consultez Chargement et copie d’objets à l’aide du chargement partitionné dans Amazon S3.

    • Replication status (Statut de réplication) – Statut de réplication de l’objet. Pour plus d’informations, consultez Obtention d’informations sur le statut de la réplication.

    • Statut de chiffrement : chiffrement côté serveur utilisé pour chiffrer l’objet. Pour plus d’informations, consultez Protection des données avec le chiffrement côté serveur.

    • Statut de clé de compartiment : indique si une clé de niveau du compartiment générée par AWS KMS s’applique à l’objet. Pour plus d’informations, consultez Réduction du coût du SSE-KMS avec les clés de compartiment Amazon S3.

    • Liste de contrôle d’accès d’objet : une liste de contrôle d’accès (ACL) pour chaque objet qui définit quels groupes ou Comptes AWS se voient accorder l’accès à cet objet et le type d’accès accordé. Pour plus d’informations sur ce champ, consultez Utiliser le champ Liste ACL d’objet. Pour en savoir plus sur les listes ACL, consultez Présentation de la liste de contrôle d’accès (ACL).

    • Propriétaire de l’objet : le propriétaire de l’objet.

    • Classe de stockage : classe de stockage utilisée pour stocker l’objet.

    • Niveau d’accès Intelligent-Tiering : niveau d’accès (fréquent ou peu fréquent) de l’objet si celui-ci est stocké dans la classe de stockage S3 Intelligent-Tiering. Pour plus d’informations, consultez Classe de stockage pour l’optimisation automatique des données avec des modèles d’accès inconnus ou irréguliers.

    • ETag : la balise d’entité (ETag) est un hachage de l’objet. ETag reflète les modifications uniquement appliquées au contenu d’un objet, pas à ses métadonnées. ETag peut ou ne peut pas être une valeur de hachage MD5 des données de l’objet. Cela dépend de la façon dont l’objet a été créé et de la manière dont il est chiffré. Pour plus d’informations, veuillez consulter Object dans la Référence des API Amazon Simple Storage Service.

    • Algorithme de total de contrôle : algorithme utilisé pour créer le total de contrôle de l’objet. Pour plus d’informations, consultez Utilisation des algorithmes de somme de contrôle pris en charge.

    • Configurations du verrouillage de tous les objets : statut du verrouillage des objets, y compris les paramètres suivants :

      • Verrouillage d’objet : mode de rétention : niveau de protection appliqué à l’objet, Gouvernance ou Conformité.

      • Verrouillage d’objet : conserver jusqu’à la date : date jusqu’à laquelle l’objet verrouillé ne peut pas être supprimé.

      • Verrouillage d’objet : statut de la conservation légale : statut de la conservation légale de l’objet verrouillé.

      Pour de plus amples informations sur la fonctionnalité de verrouillage des objets S3, consultez Fonctionnement du verrouillage d’objet S3.

    Pour plus d’informations sur le contenu d’un rapport d’inventaire, consultez Liste Amazon S3 Inventory.

    Pour plus d’informations sur la restriction de l’accès à certains champs de métadonnées facultatifs dans une configuration d’inventaire, consultez Création de la configuration des rapports S3 Inventory.

15. Choisissez Créer.