Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Amazon Snowball 中的授权和访问控制

您必须拥有有效的凭证才能创建 Snowball 任务。您可以使用这些证书来验证您的访问权限。拥有有效证书的请求者还必须拥有资源所有者的权限，才能访问资源所有者的资源。例如，您可以使用Amazon Identity and Access Management (IAM) 服务在您的账户中创建用户。IAM 用户拥有有效的证书来提出请求，但默认情况下，他们无权访问任何资源。接下来，您可以查找有关如何对请求进行身份验证并管理对 Snowball 资源的访问权限的信息。

身份验证

每个 Snowball 作业都必须经过身份验证。为此，您可以创建和管理您账户中的 IAM 用户。使用 IAM，您可以在中创建和管理用户和权限Amazon。

Snowball 用户必须具有某些与 IAM 相关的权限Amazon Snow 系列管理控制台才能访问才能创建任务。创建导入或导出任务的 IAM 用户还必须有权访问正确的亚马逊Simple Storage Service (Amazon S3) 资源，例如用于该任务的 Amazon S3 存储桶。

要使用Amazon Snow 系列管理控制台，IAM 用户必须符合以下条件：

为 Snowball 创建 IAM 用户

如果在 Snowball 控制台中执行工作的账户不是根账户或管理员，则必须使用 IAM 管理控制台向用户授予创建和管理任务所需的权限。以下过程显示如何为此目的创建新的 IAM 用户并通过内联策略向该用户提供必要的权限。

如果您要更新现有 IAM 用户，请从步骤 6 开始。

上述过程创建了一个可以在 Snowball 控制台中创建和管理任务的用户。

为 Snowball 创建 IAM 角色

创建的 IAM 角色必须具有您的 Amazon S3 存储桶的读写权限。该角色还必须与 Snowball 建立信任关系，因此Amazon可以将数据写入 Snowball 和 Amazon S3 存储桶，具体取决于您是导入还是导出数据。

在中创建任务时Amazon Snow 系列管理控制台，在 “权限” 部分的步骤 4 中创建必要的 IAM 角色。此过程是自动的，您允许 Snowball 代入的 IAM 角色仅在装有您传输数据的 Snowball 到达时用于将您的数据写入存储桶Amazon。此流程包括下列步骤。

上述过程创建了一个 IAM 角色，该角色对您计划将数据导入的 Amazon S3 存储桶具有写入权限。创建的 IAM 角色具有以下结构之一，具体取决于它是用于导入任务还是用于导出任务。

用于导入任务的 IAM 角色

{
        "Version": "2012-10-17",
        "Statement": [
            {
                "Effect": "Allow",
                "Action": [
                    "s3:GetBucketPolicy",
                    "s3:GetBucketLocation",
                    "s3:ListBucketMultipartUploads",
                    "s3:ListBucket",
                    "s3:HeadBucket",
                    "s3:PutObject",
                    "s3:AbortMultipartUpload",
                    "s3:ListMultipartUploadParts",
                    "s3:PutObjectAcl",
                    "s3:GetObject"
                ],
                "Resource": [
                    "arn:aws:s3:::YourS3BucketARN",
                    "arn:aws:s3:::YourS3BucketARN/*"
                 ]
            }
        ]
    }

    
    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "importexport.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

如果您使用带有Amazon KMS托管密钥的服务器端加密 (SSE-KMS) 来加密与导入任务关联的 Amazon S3 存储桶，则还需要向您的 IAM 角色添加以下语句。

{
    "Effect": "Allow",
     "Action": [
       "kms:GenerateDataKey"
     ],
     "Resource": "arn:aws:kms:us-west-2:123456789012:key/abc123a1-abcd-1234-efgh-111111111111"
}

如果对象大小更大，则用于导入过程的 Amazon S3 客户端使用分段上传。如果启动使用 SSE-KMS 的分段上传，则系统会使用指定的 Amazon KMS 密钥对所有已上传部分进行加密。由于上传的各部分内容已加密，因此必须先对其进行解密，然后才能组合起来完成分段上传。因此，当您使用 SSE-KMS 向 Amazon S3 运行分段上传时，您必须有权解密密Amazon KMS钥 (kms:Decrypt)。

以下是需要 kms:Decrypt 权限的导入作业所需的 IAM 角色示例。

{
    "Effect": "Allow",
     "Action": [
       "kms:GenerateDataKey","kms:Decrypt"

     ],
     "Resource": "arn:aws:kms:us-west-2:123456789012:key/abc123a1-abcd-1234-efgh-111111111111"
}

以下是导出作业所需的 IAM 角色示例。

{
        "Version": "2012-10-17",
        "Statement": [
            {
                "Effect": "Allow",
                "Action": [
                    "s3:GetBucketLocation",
                    "s3:GetObject",
                    "s3:ListBucket",
                    "s3:GetBucketPolicy"
                ],
                "Resource": [
                    "arn:aws:s3:::YourS3BucketARN",
                    "arn:aws:s3:::YourS3BucketARN/*"
                ]
            }
        ]
    }
    

    
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "importexport.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

如果您使用带有Amazon KMS —managed 密钥的服务器端加密来加密与导出任务关联的 Amazon S3 存储桶，则还需要在您的 IAM 角色中添加以下语句。

{
     "Effect": "Allow",
     "Action": [
            “kms:Decrypt”
      ],
     "Resource": "arn:aws:kms:us-west-2:123456789012:key/abc123a1-abcd-1234-efgh-111111111111"
}

访问控制

作为 IAM 资源所有者，您负责 Snowball 控制台、Snowball 以及与使用 Snowball 相关的其他资产的访问控制和安全。这些资产包括 Amazon S3 存储桶、数据传输所经过的工作站以及您的本地数据本身。

在某些情况下，我们可以帮助您授予和管理对使用 Snowball 传输数据时使用的资源的访问控制。在其他情况下，我们建议您遵循行业最佳做法进行访问控制。