View a markdown version of this page

Définition de la propriété d’objet lors de la création d’un compartiment - Amazon Simple Storage Service

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Définition de la propriété d’objet lors de la création d’un compartiment

Lorsque vous créez un compartiment, vous pouvez configurer la propriété d’objet S3. Pour définir la propriété d’un objet pour un compartiment existant, voir Définition de la propriété d’un objet sur un compartiment existant.

S3 Object Ownership est un paramètre Amazon S3 au niveau du compartiment que vous pouvez utiliser pour désactiver les listes de contrôle d’accès (ACL) et prendre possession de chaque objet de votre compartiment. Cela a pour effet de simplifier la gestion des accès aux données stockées dans Amazon S3. Par défaut, la propriété d’objets S3 est définie sur le paramètre Propriétaire du compartiment appliqué et les listes ACL sont désactivées pour les nouveaux compartiments. Lorsque les listes ACL sont désactivées, le propriétaire du compartiment détient chaque objet présent dans le compartiment et gère l’accès aux données exclusivement à l’aide de politiques de gestion des accès. Nous vous recommandons de maintenir les listes ACL désactivées, sauf dans des circonstances inhabituelles où vous devez contrôler l'accès individuellement pour chaque objet.

Object Ownership (Propriété de l’objet) dispose de trois paramètres que vous pouvez utiliser pour contrôler la propriété des objets téléchargés dans votre compartiment pour désactiver ou activer les listes ACL :

Listes ACL désactivées

  • Propriétaire du compartiment appliqué (par défaut) : les listes ACL sont désactivées et le propriétaire du compartiment détient automatiquement chaque objet présent dans le compartiment et en a le contrôle total. Les listes ACL n’affectent plus les autorisations sur les données du compartiment S3. Le compartiment utilise des stratégies pour définir le contrôle des accès.

Listes ACL activées

  • Bucket owner preferred (Préféré par le propriétaire du compartiment) – Le propriétaire du compartiment possède les nouveaux objets que d’autres comptes écrivent dans le compartiment avec la liste ACL bucket-owner-full-control prête à l’emploi, et en a le contrôle total.

  • Auteur d'objets : celui Compte AWS qui télécharge un objet est propriétaire de l'objet, en a le contrôle total et peut autoriser d'autres utilisateurs à y accéder via des ACL.

Permissions (Autorisations) : pour appliquer le paramètre Bucket owner enforced (Propriétaire du compartiment imposé) ou le paramètre Bucket owner preferred (Propriétaire du compartiment préféré), vous devez disposer des autorisations suivantes : s3:CreateBucket et s3:PutBucketOwnershipControls. Aucune autorisation supplémentaire n’est nécessaire lors de la création d’un compartiment avec le paramètre Object writer (Rédacteur d’objets) appliqué. Pour plus d’informations sur les autorisations Amazon S3, consultez Actions, ressources et clés de condition pour Amazon S3 dans la Référence de l’autorisation de service.

Pour plus d’informations sur les autorisations relatives aux opérations d’API S3 par type de ressource S3, consultez Autorisations requises pour les opérations d’API Amazon S3.

Important

La majorité des cas d’utilisation modernes dans Amazon S3 ne nécessite plus de listes ACL. Nous vous recommandons de désactiver les listes ACL, sauf si vous devez contrôler l’accès à chaque objet individuellement. Avec Object Ownership, vous pouvez désactiver les listes ACL et vous fier aux stratégies pour le contrôle des accès. Lorsque vous désactivez les ACL, vous pouvez facilement gérer un bucket contenant des objets chargés par différents AWS comptes. En tant que propriétaire du compartiment, vous êtes propriétaire de tous les objets du compartiment et pouvez gérer l’accès à ces derniers au moyen de stratégies.

  1. Connectez-vous à la console Amazon S3 AWS Management Console et ouvrez-la à l'adresse https://console.aws.amazon.com/s3/.

  2. Dans la barre de navigation en haut de la page, choisissez le nom du fichier actuellement affiché Région AWS. Choisissez ensuite la région dans laquelle vous souhaitez créer un compartiment.

    Note

    • Une fois le compartiment créé, vous ne pouvez pas changer sa région.

    • Pour limiter la latence et les coûts, et répondre aux exigences légales, choisissez une région proche de vous. Les objets stockés dans une Région ne la quittent jamais, sauf si vous les transférez explicitement vers une autre Région. Pour obtenir la liste d'Amazon S3 Régions AWS, consultez la section sur les Service AWS points de terminaison dans le Référence générale d'Amazon Web Services.

  3. Dans le volet de navigation de gauche, choisissez Compartiments à usage général.

  4. Choisissez Créer un compartiment. La page Créer un compartiment s’ouvre.

  5. Pour Nom du compartiment, saisissez le nom de votre compartiment.

    Le nom du compartiment doit présenter les caractéristiques suivantes :

    • Être unique dans une partition. Une partition est un regroupement de régions. AWS possède actuellement trois partitions : aws (Régions commerciales), aws-cn (Régions de Chine) et aws-us-gov (AWS GovCloud (US) Regions).

    • Il doit comporter entre 3 et 63 caractères.

    • Il doit être composé uniquement de lettres minuscules, de chiffres, de points (.) et de traits d’union (-). Pour une meilleure compatibilité, nous vous déconseillons d’utiliser des points (.) dans les noms des compartiments, à l’exception des compartiments utilisés uniquement à des fins d’hébergement de sites web statiques.

    • Il doit commencer et se terminer par une lettre ou un chiffre.

    • Pour obtenir la liste complète des règles de dénomination des compartiments, consultez Règles de dénomination des compartiments à usage général.

    Important

    • Une fois le compartiment créé, vous ne pouvez pas changer son nom.

    • N’incluez pas d’informations sensibles dans le nom du compartiment. Le nom de compartiment est visible dans les URL qui pointent vers les objets du compartiment.

  6. (Facultatif) Sous Configuration générale, vous pouvez choisir de copier les paramètres d’un compartiment existant dans votre nouveau compartiment. Si vous ne souhaitez pas copier les paramètres d’un compartiment existant, passez à l’étape suivante.

    Note

    Cette option :

    • N'est pas disponible dans la console Amazon S3 AWS CLI et n'est disponible que dans la console Amazon S3

    • ne copie pas la stratégie du compartiment existant dans le nouveau compartiment.

    Pour copier les paramètres d’un compartiment existant, sous Copier les paramètres d’un compartiment existant, sélectionnez Choisir un compartiment. La fenêtre Choisir un compartiment s’ouvre. Recherchez le compartiment contenant les paramètres que vous souhaitez copier, puis sélectionnez Choisir un compartiment. La fenêtre Choisir un compartiment se ferme et la fenêtre Créer un compartiment s’ouvre à nouveau.

    Sous Copier les paramètres d’un compartiment existant, vous pouvez maintenant voir le nom du compartiment que vous avez sélectionné. Les paramètres de votre nouveau compartiment correspondent à présent à ceux du compartiment que vous avez sélectionné. Si vous souhaitez supprimer les paramètres copiés, choisissez Restaurer les valeurs par défaut. Passez en revue les autres paramètres du compartiment sur la page Créer un compartiment. Si vous ne voulez apporter aucune modification, vous pouvez passer à l’étape finale.

  7. Sous Object Ownership (Propriété de l’objet), pour désactiver ou activer les listes ACL et contrôler la propriété des objets téléchargés dans votre compartiment, sélectionnez l’un des paramètres suivants :

    Listes ACL désactivées

    • Propriétaire du compartiment appliqué (par défaut) : les listes ACL sont désactivées. Le propriétaire du compartiment possède automatiquement chaque objet du compartiment à usage général et dispose d’un contrôle total sur ces derniers. Les listes ACL n’ont plus d’incidence sur les autorisations d’accès aux données du compartiment S3 à usage général. Le compartiment utilise des stratégies exclusivement pour définir le contrôle des accès.

      Par défaut, les listes ACL sont désactivées. La majorité des cas d’utilisation modernes dans Amazon S3 ne nécessitent plus l’utilisation des listes ACL. Nous vous recommandons de maintenir les listes ACL désactivées, sauf si vous devez contrôler individuellement l’accès à chaque objet. Pour de plus amples informations, veuillez consulter Consultez Contrôle de la propriété des objets et désactivation des listes ACL pour votre compartiment.

    Listes ACL activées

    • Bucket owner preferred (Préféré par le propriétaire du compartiment) – Le propriétaire du compartiment possède les nouveaux objets que d’autres comptes écrivent dans le compartiment avec la liste ACL bucket-owner-full-control prête à l’emploi, et en a le contrôle total.

      Si vous appliquez le paramètre Propriétaire du compartiment préféré, pour exiger que tous les chargements Amazon S3 incluent la liste ACL prédéfinie bucket-owner-full-control, vous pouvez ajouter une politique de compartiment qui autorise uniquement les chargements d’objets utilisant cette liste ACL.

    • Auteur d'objets : celui Compte AWS qui télécharge un objet est propriétaire de l'objet, en a le contrôle total et peut autoriser d'autres utilisateurs à y accéder via des ACL.

    Note

    Le paramètre par défaut est Propriétaire du compartiment appliqué. Pour appliquer le paramètre par défaut et maintenir les listes ACL désactivées, seule l’autorisation s3:CreateBucket est requise. Pour activer les listes ACL, vous devez disposez de l’autorisation s3:PutBucketOwnershipControls.

  8. Dans Paramètres de blocage de l’accès public pour ce compartiment, choisissez les paramètres Bloquer l’accès public que vous souhaitez appliquer au compartiment.

    Par défaut, les quatre paramètres de blocage de l’accès public sont activés. Nous vous recommandons de maintenir tous les paramètres activés, sauf si vous savez que vous devez en désactiver un ou plusieurs pour votre cas d’utilisation spécifique. Pour en savoir plus sur le blocage de l’accès public, consultez Blocage de l’accès public à votre stockage Amazon S3.

    Note

    Pour activer tous les paramètres de blocage de l’accès public, seule l’autorisation s3:CreateBucket est requise. Pour désactiver les paramètres de blocage de l’accès public, vous devez disposer de l’autorisation s3:PutBucketPublicAccessBlock.

  9. (Facultatif) Par défaut, l’option Gestion des versions de compartiment est désactivée. La gestion des versions est un moyen de conserver plusieurs variantes d'un objet dans un même compartiment. Vous pouvez utiliser la gestion des versions pour préserver, récupérer et restaurer chaque version de chaque objet stocké dans votre compartiment. Le contrôle de version permet de récupérer facilement les données en cas d'action involontaire d'un utilisateur ou de défaillance applicative. Pour plus d’informations sur la gestion des versions, consultez Conservation de plusieurs versions d’objets grâce à la gestion des versions S3.

    Pour activer la gestion des versions de votre compartiment, choisissez Activer.

  10. (Facultatif) Sous Tags (Balises), vous pouvez choisir d’ajouter des balises à votre compartiment. Avec la répartition des coûts AWS , vous pouvez utiliser des balises de compartiment pour annoter la facturation de votre utilisation d’un compartiment. Une balise correspond à une paire clé-valeur représentant un libellé que vous affectez à un compartiment. Pour de plus amples informations, veuillez consulter Utilisation des balises de répartition des coûts pour les compartiments S3.

    Pour ajouter une balise de compartiment, saisissez une Key (Clé) et éventuellement une Value (Valeur), puis choisissez Add Tag (Ajouter une balise).

  11. Pour configurer le chiffrement par défaut, sous Type de chiffrement, choisissez l’une des options suivantes :

    • Server-side chiffrement avec des clés gérées par Amazon S3 (SSE-S3)

    • Server-side chiffrement avec AWS Key Management Service clés (SSE-KMS)

    • Dual-layer chiffrement côté serveur avec des clés AWS Key Management Service (AWS KMS) () DSSE-KMS

      Important

      Si vous utilisez l' DSSE-KMS option SSE-KMS ou pour votre configuration de chiffrement par défaut, vous êtes soumis au quota de demandes par seconde (RPS) de AWS KMS. Pour plus d'informations sur les AWS KMS quotas et sur la manière de demander une augmentation de quota, consultez la section Quotas dans le guide du AWS Key Management Service développeur.

    Les compartiments et les nouveaux objets sont chiffrés à l’aide d’un chiffrement côté serveur avec une clé gérée par Amazon S3 (SSE-S3) comme niveau de base de configuration du chiffrement. Pour plus d’informations sur le chiffrement par défaut, consultez Définition du comportement de chiffrement côté serveur par défaut pour les compartiments Amazon S3. Pour plus d’informations sur SSE-S3, consultez Utilisation du chiffrement côté serveur avec des clés gérées par Amazon S3 () SSE-S3.

    Pour plus d’informations sur l’utilisation du chiffrement côté serveur pour chiffrer vos données, consultez Protection des données à l’aide du chiffrement.

  12. Si vous avez choisi Server-side le chiffrement avec AWS Key Management Service des clés (SSE-KMS) ou le Dual-layer chiffrement côté serveur avec AWS Key Management Service (AWS KMS) keys (DSSE-KMS), procédez comme suit :

    1. Sous CléAWS KMS , spécifiez votre clé KMS de l’une des manières suivantes :

      • Pour choisir parmi une liste de clés KMS disponibles, choisissez Choisir parmi vos AWS KMS keys, puis choisissez votre clé KMS dans la liste des clés disponibles.

        La clé Clé gérée par AWS (aws/s3) et la clé gérée par votre client apparaissent toutes deux dans cette liste. Pour plus d’informations sur les clés gérées par le client, consultez Clés de client et clés AWS dans le Guide du développeur AWS Key Management Service .

      • Pour saisir l’ARN de la clé KMS, choisissez Saisir l’ARN de AWS KMS key , puis saisissez l’ARN de votre clé KMS dans le champ qui s’affiche.

      • Pour créer une nouvelle clé gérée par le client dans la AWS KMS console, choisissez Create a KMS key.

        Pour plus d'informations sur la création d'un AWS KMS key, consultez la section Création de clés dans le Guide du AWS Key Management Service développeur.

      Important

      Vous ne pouvez utiliser que les clés KMS disponibles dans le même compartiment Région AWS que le bucket. La console Amazon S3 répertorie uniquement les 100 premières clés KMS dans la même région que le compartiment. Pour utiliser une clé KMS qui n’est pas répertoriée, vous devez saisir son ARN. Si vous souhaitez utiliser une clé KMS qui appartient à un autre compte, vous devez d’abord obtenir l’autorisation d’utiliser cette clé, puis saisir son ARN. Pour plus d’informations sur les autorisations intercomptes des clés KMS, consultez Création de clés KMS que d’autres comptes peuvent utiliser dans le Guide du développeur AWS Key Management Service . Pour plus d'informations sur SSE-KMS, voirSpécification du chiffrement côté serveur avec AWS KMS (SSE-KMS). Pour plus d'informations sur DSSE-KMS, voirUtilisation du chiffrement double couche côté serveur avec AWS KMS clés (DSSE-KMS).

      Lorsque vous utilisez un AWS KMS key pour le chiffrement côté serveur dans Amazon S3, vous devez choisir une clé KMS de chiffrement symétrique. Amazon S3 prend uniquement en charge les clés KMS symétriques de chiffrement et ne prend pas en charge les clés KMS asymétriques. Pour plus d’informations, consultez Identification des clés KMS symétriques et asymétriques dans le Guide du développeur AWS Key Management Service .

    2. Lorsque vous configurez votre compartiment pour utiliser le chiffrement par défaut SSE-KMS, vous pouvez également utiliser les clés de compartiment S3. Les clés de compartiment S3 réduisent le coût du chiffrement en diminuant le trafic de demandes d'Amazon S3 vers AWS KMS. Pour de plus amples informations, veuillez consulter Réduction des coûts liés SSE-KMS aux clés de compartiment Amazon S3. Les clés de compartiment S3 ne sont pas prises en charge pour DSSE-KMS.

      Par défaut, les clés de compartiment S3 sont activées dans la console Amazon S3. Nous vous recommandons de les laisser activées afin de réduire vos coûts. Pour désactiver les clés de votre compartiment S3, sous Clé de compartiment, choisissez Désactiver.

  13. (Facultatif) Le verrouillage d’objet de S3 permet d’empêcher la suppression ou l’écrasement des nouveaux objets. Pour de plus amples informations, veuillez consulter Verrouillage d’objets avec la fonctionnalité de verrouillage d’objet. Si vous souhaitez activer le verrouillage d’objet de S3, procédez comme suit :

    1. Choisissez Paramètres avancés.

      Important

      L’activation du verrouillage d’objet active automatiquement la gestion des versions du compartiment. Après avoir activé et créé avec succès le compartiment, vous devez également configurer les paramètres par défaut de rétention et de conservation légale du verrouillage d’objet dans l’onglet Propriétés du compartiment.

    2. Pour activer le verrouillage d’objets, choisissez Enable (Activer), lisez l’avertissement qui s’affiche et confirmez-le.

    Note

    Pour créer un compartiment prenant en charge le verrouillage d’objet, vous devez disposer des autorisations suivantes : s3:CreateBucket, s3:PutBucketVersioning et s3:PutBucketObjectLockConfiguration.

  14. Choisissez Créer un compartiment.

Pour définir la propriété de l'objet lorsque vous créez un nouveau compartiment, utilisez la create-bucket AWS CLI commande avec le --object-ownership paramètre.

Cet exemple applique le paramètre Propriétaire du compartiment appliqué à un nouveau compartiment à l’aide de l’interface AWS CLI :

aws s3api create-bucket --bucket  amzn-s3-demo-bucket --region us-east-1 --object-ownership BucketOwnerEnforced
Important

Si vous ne définissez pas la propriété de l'objet lorsque vous créez un bucket à l'aide de AWS CLI, le paramètre par défaut sera ObjectWriter (ACL activées).

Cet exemple définit le paramètre Propriétaire du compartiment appliqué à un nouveau compartiment à l’aide du kit AWS SDK pour Java :

    // Build the ObjectOwnership for CreateBucket
    CreateBucketRequest createBucketRequest = CreateBucketRequest.builder()
            .bucket(bucketName)
            .objectOwnership(ObjectOwnership.BucketOwnerEnforced)
            .build()

     // Send the request to Amazon S3 
     s3client.createBucket(createBucketRequest);

Pour utiliser la AWS::S3::Bucket CloudFormation ressource afin de définir la propriété de l'objet lorsque vous créez un nouveau bucket, reportez-vous OwnershipControlsAWS::S3::Bucketau Guide de l'AWS CloudFormation utilisateur.

Pour appliquer le paramètre Propriétaire du compartiment appliqué pour la propriété d’objets S3, utilisez l’opération d’API CreateBucket avec l’en-tête de demande x-amz-object-ownership défini sur BucketOwnerEnforced. Pour plus d’informations et des exemples, consultez CreateBucket dans la Référence des API Amazon Simple Storage Service.

Étapes suivantes : une fois que vous avez appliqué les paramètres Propriétaire du compartiment appliqué ou Propriétaire du compartiment préféré pour Propriété d’objets, vous pouvez suivre les étapes suivantes :

  • Bucket owner enforced (Appliqué par le propriétaire du compartiment) – Vous pouvez exiger que tous les nouveaux compartiments soient créés avec des listes ACL désactivées à l’aide d’une politique IAM ou Organizations.

  • Bucket owner preferred (Préféré par le propriétaire du compartiment) – Ajoutez une politique de compartiment S3 pour exiger que la liste ACL bucket-owner-full-control prédéfinie pour tous les téléchargements d’objets vers votre compartiment.