配置 Amazon S3 清单

授予 Amazon S3 使用客户自主管理型密钥进行加密的权限

1. 使用拥有客户自主管理型密钥的 Amazon Web Services Management Console，登录 Amazon Web Services 账户。

2. 从 https://console.aws.amazon.com/kms 打开 Amazon KMS 控制台。

3. 要更改 Amazon Web Services 区域，请使用页面右上角的区域选择器。

4. 在左侧导航窗格中，选择 Customer managed keys (客户托管密钥)。

5. 在客户自主管理型密钥下，选择要用于加密清单文件的客户托管密钥。

6. 在 Key Policy (密钥策略) 部分中，选择 Switch to policy view (切换到策略视图)。

7. 要更新密钥策略，选择 Edit (编辑)。

8. 在编辑密钥策略页上，将以下各行添加到现有密钥策略。对于 source-account-id 和 DOC-EXAMPLE-SOURCE-BUCKET，为您的用例提供适当的值。

   {
       "Sid": "Allow Amazon S3 use of the customer managed key",
       "Effect": "Allow",
       "Principal": {
           "Service": "s3.amazonaws.com"
       },
       "Action": [
           "kms:GenerateDataKey"
       ],
       "Resource": "*",
       "Condition":{
         "StringEquals":{
            "aws:SourceAccount":"source-account-id"
        },
         "ArnLike":{
           "aws:SourceARN": "arn:aws:s3:::DOC-EXAMPLE-SOURCE-BUCKET"
        }
      }
   }

9. 选择 Save changes（保存更改）。

按照以下说明使用 S3 控制台配置清单。

1. 登录到Amazon Web Services Management Console，然后通过以下网址打开 Amazon S3 控制台：https://console.aws.amazon.com/s3/。

2. 在左侧导航窗格中，选择存储桶。在桶列表中，选择要为其配置 Amazon S3 清单的桶的名称。

3. 选择管理选项卡。

4. 在 Inventory configurations (清单配置) 下，选择 Create inventory configuration (创建清单配置)。

5. 对于清单配置名称，输入名称。

6. 对于清单范围，请执行以下操作：

   • 输入可选的前缀。

   • 选择要包括的对象版本：仅当前版本或包括所有版本。

7. 在 Report details (报告详细信息) 下，选择要将报告保存到的 Amazon Web Services 账户 的位置：此账户或另一个账户。

8. 在目标下，选择要将清单报告保存到的目标存储桶。

   目标存储桶必须位于与您为其设置清单的桶相同的 Amazon Web Services 区域 中。目标存储桶可处于不同的 Amazon Web Services 账户 中。指定目标存储桶时，您还可以添加可选前缀，以将清单报告组合在一起。

   在目标存储桶字段下，您将看到目标存储桶权限声明，该声明添加到目标存储桶策略中以允许 Amazon S3 在该桶中放置数据。有关更多信息，请参阅创建目标存储桶策略。

9. 在频率下，选择生成报告的频率：每日或每周。

10. 对于输出格式，为报告选择以下格式之一：

    • CSV – 如果您计划将此清单报告用于 S3 批量操作，或者如果您想在其他工具（例如 Microsoft Excel）中分析此报告，请选择 CSV。

    • Apache ORC

    • Apache Parquet

11. 在 Status (状态) 下，选择 Enable (启用) 或 Disable (禁用)。

12. 要配置服务器端加密，请在清单报告加密下执行以下步骤：

    1. 在服务器端加密下，选择不要指定加密密钥或指定加密密钥来加密数据。

       • 要在将对象存储在 Amazon S3 中时保留适用于对象原定设置服务器端加密的桶设置，请选择不要指定加密密钥。只要桶目标启用了 S3 存储桶密钥，复制操作就将在目标存储桶上应用 S3 存储桶密钥。

         注意

         如果指定目标的存储桶策略要求在将对象存储到 Amazon S3 之前对其进行加密，则必须指定加密密钥。否则，将对象复制到目标将失败。

       • 要在将对象存储到 Amazon S3 之前对其进行加密，请选择指定加密密钥。

    2. 如果您选择指定加密密钥，那么在加密类型下，您必须选择 Amazon S3 托管密钥（SSE-S3）或 Amazon Key Management Service 密钥（SSE-KMS）。

       SSE-S3 使用最强的数据块密码之一 [即 256 位高级加密标准（AES-256）] 来加密每个对象。SSE-KMS 为您提供了对密钥的更多控制。有关 SSE-S3 的更多信息，请参阅使用具有 Amazon S3 托管式密钥的服务器端加密（SSE-S3）。有关 SSE-KMS 的更多信息，请参阅 使用具有 Amazon KMS 密钥的服务器端加密（SSE-KMS）。

       注意

       要使用 SSE-KMS 加密清单列表文件，必须授予 Amazon S3 使用客户自主管理型密钥的权限。有关说明，请参阅授予 Amazon S3 使用 KMS 密钥进行加密的权限。

    3. 如果您选择了 Amazon Key Management Service 密钥（SSE-KMS），则在 Amazon KMS key 之下，您可以通过以下选项之一指定 Amazon KMS 密钥。

       注意

       如果存储清单列表文件的目标存储桶由其他 Amazon Web Services 账户拥有，请确保使用完全限定的 KMS 密钥 ARN 来指定您的 KMS 密钥。

       • 要从可用 KMS 密钥列表中进行选择，请选择从您的 Amazon KMS 密钥中进行选择，然后从可用密钥列表中选择对称加密 KMS 密钥。确保该 KMS 密钥与您的存储桶位于同一区域。

         注意

         Amazon 托管式密钥 (aws/s3) 和您的客户自主管理型密钥都显示在列表中。但是，使用 S3 清单进行的 SSE-KMS 加密不支持 Amazon 托管式密钥 (aws/s3)。

       • 要输入 KMS 密钥 ARN，请选择输入 Amazon KMS 密钥 ARN，然后在显示的字段中输入您的 KMS 密钥 ARN。

       • 要在 Amazon KMS 控制台中创建新的客户自主管理型密钥，请选择创建 KMS 密钥。

13. 对于其他元数据字段，从下面选择一项或多项以添加到清单报告：

    • 大小 - 以字节为单位的对象大小，不包括未完成的分段上传、对象元数据和删除标记的大小。

    • Last modified date (上次修改日期) – 对象创建日期或上次修改日期（以较晚者为准）。

    • 分段上传 – 指定对象以分段上传形式上传。有关更多信息，请参阅 使用分段上传来上传和复制对象。

    • Replication status (复制状态) – 对象的复制状态。有关更多信息，请参阅获取复制状态信息。

    • 加密状态 – 用于加密对象的服务器端加密类型。有关更多信息，请参阅使用服务器端加密保护数据。

    • 桶密钥状态 – 指示是否将 Amazon KMS 生成的桶级密钥应用于对象。有关更多信息，请参阅使用 Amazon S3 存储桶密钥降低 SSE-KMS 的成本。

    • 对象访问控制列表 – 每个对象的访问控制列表（ACL），用于定义哪个 Amazon Web Services 账户或组被授予对此对象的访问权限以及授予的访问权限类型。有关此字段的更多信息，请参阅使用“对象 ACL”字段。有关 ACL 的更多信息，请参阅 访问控制列表 (ACL) 概述。

    • 对象拥有者 – 对象的拥有者。

    • 存储类 – 用于存储对象的存储类。

    • 智能分层：访问层 – 如果存储在“S3 智能分层”存储类中，则表示对象的访问层（频繁或不频繁）。有关更多信息，请参阅用于自动优化访问模式不断变化或未知的数据的存储类。

    • ETag – 实体标签（ETag）是对象的哈希。ETag 仅反映对于对象的内容的更改，而不反映对于对象的元数据的更改。ETag 可能是该对象数据的 MD5 摘要，也可能不是。是与不是取决于对象的创建方式和加密方式。有关更多信息，请参阅《Amazon Simple Storage Service API 参考》中的 Object。

    • 校验和算法 – 表示用于创建对象的校验和的算法。

    • 所有对象锁定配置 – 对象的对象锁定状态，包括以下设置：

      • 对象锁定：保留模式 – 应用于对象的保护级别，可以是监管或合规。

      • 对象锁定：保留截止日期 – 在此日期之前无法删除锁定的对象。

      • 对象锁定：依法保留状态 – 锁定对象的依法保留状态。

      有关 S3 对象锁定的更多信息，请参阅S3 对象锁定的工作原理。

    有关清单报告内容的更多信息，请参阅 Amazon S3 清单列表。

    有关在清单配置中限制对某些可选元数据字段的访问的更多信息，请参阅控制 S3 清单报告配置的创建。

14. 选择创建。