Comment puis-je modifier la propriété d'un objet pour un compartiment Amazon S3 lorsque les objets sont chargés par d'autres comptes AWS ?

Brève description

Important : les objets dans S3 ne sont plus toujours automatiquement détenus par le compte AWS qui les charge.

Avec le paramètre « Bucket owner-enforced » (Appliqué par le propriétaire du compartiment) dans S3 Object Ownership, tous les objets d'un compartiment Amazon S3 peuvent désormais être détenus par le propriétaire du compartiment. La fonction Bucket owner enforced (Appliqué par le propriétaire du compartiment) désactive également toutes les listes de contrôle d'accès (ACL), ce qui simplifie la gestion de l'accès aux données stockées dans S3.

Vous pouvez activer les paramètres Bucket owner enforced (Appliqué par le propriétaire du compartiment) pour appliquer la propriété de tous les objets d'un compartiment nouvellement créé au compte du propriétaire du compartiment.

Solution

Modification de la propriété des objets chargés par d'autres comptes AWS

Remarque : avant d'utiliser S3 Object Ownership pour modifier la propriété d'un objet pour un compartiment, assurez-vous d'avoir accès à l'action s3:PutBucketOwnershipControls. Pour en savoir plus sur les autorisations S3, consultez Actions, ressources et clés de condition pour Amazon S3.

Modification de la propriété d'un objet sur le compte propriétaire du compartiment pour les objets nouveaux et existants chargés par d'autres comptes dans des compartiments Amazon S3 (désactiver les ACL)

Si vous essayez de modifier la propriété des objets d'un compartiment Amazon S3 existant, choisissez l'option ACLs disabled (ACL désactivées) sous S3 Object Ownership. Cette option autorise le propriétaire du compartiment à contrôler totalement tous les objets du compartiment S3 et transfère la propriété au compte du propriétaire du compartiment.

Lorsque vous utilisez cette option, les ACL n'affectent plus l'autorisation d'accès aux données de votre compartiment S3. Cette option modifie la propriété de tous les objets dans le compartiment, y compris les objets qui existent actuellement et tous les objets que vous ajoutez après avoir défini l'option ACLs disabled (ACL désactivées). Pour définir le contrôle d'accès, utilisez une politique de compartiment.

Remarque : si vos ACL existantes accordent l'accès à un compte AWS externe ou à tout autre groupe, le paramètre appliqué par le propriétaire du compartiment ne fonctionne pas. Pour appliquer le paramètre Bucket owner enforced (Appliqué par le propriétaire du compartiment), votre ACL du compartiment doit donner un contrôle total uniquement au propriétaire du compartiment. Avant d'activer le paramètre Bucket owner enforced (Appliqué par le propriétaire du compartiment), consultez Conditions préalables à la désactivation des listes ACL.

Modification de la propriété de l'objet sur le compte propriétaire du compartiment pour les nouveaux objets chargés par d'autres comptes dans les compartiments Amazon S3 (activer les ACL)

Sous les paramètres S3 Object Ownership, dans la liste des options « ACLs enabled » (ACL activées), choisissez l'option Bucket owner preferred (Préféré par le propriétaire du compartiment). Grâce à ce paramètre, les nouveaux objets qui sont écrits par d'autres comptes avec l'ACL prédéfinie « bucket-owner-full-control » sont automatiquement détenus par le propriétaire du compartiment plutôt que par le rédacteur de l'objet. Toutefois, le paramètre Bucket owner preferred (Préféré par le propriétaire du compartiment) n'affecte pas la propriété des objets existants. Les ACL peuvent également être mises à jour et utilisées pour accorder des autorisations. Pour en savoir plus sur le paramètre Bucket owner preferred (Préféré par le propriétaire du compartiment) et les ACL, consultez Application de la propriété des objets Amazon S3 dans un environnement à plusieurs comptes (Français non garanti).

Modification de la propriété de l'objet sur le compte AWS qui l'a chargé (activer les ACL)

Pour transférer la propriété de l'objet vers le compte AWS qui l'a chargé, activez l'option Object writer (Rédacteur d'objet) dans la liste des ACL activées sous S3 Object Ownership. Cette option permet de garantir la propriété de l'objet par le compte AWS qui l'a chargé. Le propriétaire de l'objet a alors un contrôle total sur l'objet et peut accorder à d'autres utilisateurs l'accès à l'objet à l'aide des ACL.

Informations connexes

Contrôle de la propriété des objets et désactivation des ACL pour votre compartiment

Comment puis-je copier tous les objets d'un compartiment Amazon S3 dans un autre compartiment ?

Comment puis-je ajouter l'ACL « bucket-owner-full-control » à mes objets dans Amazon S3 ?