Fonctionnalités Amazon S3

S3 Storage Lens offre une visibilité à l’échelle de l’organisation sur l’utilisation du stockage d’objets et les tendances de l’activité. Il formule des recommandations concrètes pour améliorer la rentabilité et appliquer les bonnes pratiques de protection des données. S3 Storage Lens est la première solution d'analytique du stockage dans le cloud à fournir une vue unique de l'utilisation et de l'activité du stockage d'objets sur des centaines, voire des milliers de comptes dans une organisation, avec des analyses détaillées destinées à produire des informations au niveau du compte, du compartiment ou même du préfixe. S’appuyant sur plus de 16 ans d’optimisation du stockage auprès des clients, S3 Storage Lens analyse les métriques à l’échelle de l’organisation pour fournir des recommandations contextuelles afin de trouver des moyens de réduire vos coûts de stockage et d’appliquer les meilleures pratiques en matière de protection des données. 

Amazon S3 Storage Class Analysis analyse les modèles d'accès au stockage et savoir quand transférer les bonnes données vers la bonne classe de stockage. Cette fonctionnalité Amazon S3 étudie les modèles d'accès aux données pour vous aider à déterminer quand effectuer la transition du stockage le moins fréquemment consulté vers une classe de stockage moins coûteuse. Vous pouvez utiliser les résultats pour améliorer vos politiques de cycle de vie S3. Vous pouvez configurer l'analyse de classe de stockage pour analyser tous les objets d'un compartiment. Vous pouvez également configurer des filtres pour regrouper les objets à des fins d'analyse par préfixe commun, par balises d'objet ou par préfixe et balises. Pour en savoir plus, consultez la page Analytique et informations sur le stockage.

Les tables Amazon S3 proposent le premier magasin d’objets dans le cloud doté d’une prise en charge intégrée du format de table ouverte et constituent le moyen le plus simple de stocker des données tabulaires à grande échelle. Les tables S3 sont spécifiquement optimisées pour les charges de travail analytiques, ce qui se traduit par des performances de requête jusqu’à 3 fois plus rapides et des transactions par seconde jusqu’à 10 fois plus élevées que les tables autogérées. Les tables S3 prennent en charge la norme Apache Iceberg. Elles sont facilement interrogeables par les moteurs de recherche AWS et tiers les plus répandus. En outre, les tables S3 sont conçues pour effectuer une maintenance continue des tables afin d’optimiser automatiquement l’efficacité des requêtes et les coûts de stockage au fil du temps, même à mesure que votre lac de données se met à l’échelle. L’intégration des tables S3 avec le Catalogue des données AWS Glue est en version préliminaire, ce qui vous permet de diffuser, d’interroger et de visualiser des données, y compris des tables de S3 Metadata, à l’aide des services d’analytique AWS tels qu’Amazon Data Firehose, Amazon Athena, Amazon Redshift, Amazon EMR et Amazon QuickSight.

Les tables S3 utilisent des compartiments de tables, un type de compartiment spécialement conçu pour stocker des données tabulaires. Grâce aux compartiments de tables, vous pouvez facilement créer des tables et configurer des autorisations au niveau des tables pour gérer l’accès à votre lac de données. Vous pouvez ensuite charger et interroger les données de vos tables à l’aide du code SQL standard, et tirer parti des fonctionnalités avancées d’analytique d’Apache Iceberg, telles que les transactions au niveau des lignes, les instantanés interrogeables, l’évolution des schémas, etc. Les compartiments de tables fournissent également une maintenance des tables basée sur des règles, ce qui vous permet d’automatiser les tâches opérationnelles telles que le compactage, la gestion des instantanés et la suppression des fichiers non référencés.

Amazon S3 prend en charge vos cas d’utilisation relatifs à la résidence et à l’isolation des données lorsque vous devez stocker des données dans un périmètre de données spécifique. Si vos exigences en matière de résidence des données ne peuvent pas être satisfaites par une région AWS existante, vous pouvez utiliser les classes de stockage S3 pour les zones locales dédiées AWS ou les racks S3 sur Outposts pour stocker vos données dans un périmètre de données spécifique. Cela étend l’engagement de souveraineté numérique d’AWS, notre engagement à offrir l’ensemble le plus avancé de contrôles et de fonctionnalités de souveraineté dans le cloud.

Par défaut, afin de protéger les données stockées sur Amazon S3, les utilisateurs disposent uniquement d'un accès aux ressources S3 qu'ils créent. Il est possible d’accorder l’accès à d’autres utilisateurs via les fonctionnalités de gestion des accès suivantes : AWS Identity and Access Management (IAM) pour créer des utilisateurs et gérer leurs accès respectifs ; les listes de contrôle d’accès (ACL) pour rendre des objets individuels accessibles aux utilisateurs autorisés ; des stratégies de compartiment pour configurer les autorisations de tous les objets dans un seul compartiment S3 ; les points d’accès S3 pour simplifier la gestion des accès aux ensembles de données partagées en créant des points d’accès avec des noms et des autorisations propres à chaque application ou à des ensembles d’applications ; les autorisations d’accès S3 pour gérer les autorisations à grande échelle en accordant automatiquement l’accès S3 aux utilisateurs finaux en fonction de leur identité d’entreprise et l’authentification par chaîne d’interrogation pour autoriser un accès limité dans le temps par le biais d’URL temporaires. Amazon S3 prend également en charge les journaux d’audit qui répertorient les requêtes faites sur vos ressources S3, pour une visibilité totale de ceux qui accèdent aux données.

Amazon S3 propose des fonctions de sécurité flexibles pour bloquer l'accès à vos données aux utilisateurs non autorisés. Utilisez des points de terminaison d’un VPC pour vous connecter aux ressources S3 à partir de votre Amazon Virtual Private Cloud (Amazon VPC) et de votre environnement sur site. Amazon S3 crypte tous les nouveaux téléchargements de données vers n'importe quel compartiment (à partir du 5 janvier 2023). Amazon S3 prend en charge le chiffrement côté serveur (avec quatre options de gestion des clés) et le chiffrement côté client pour les chargements de données (consultez le Guide de l’utilisateur Amazon S3 pour en savoir plus sur le chiffrement des données avec S3). Utilisez l’inventaire S3 pour vérifier l’état de chiffrement de vos objets S3 (voir Gestion du stockage pour plus d’informations sur l’inventaire S3).

Amazon S3 Block Public Access est un ensemble de contrôles de sécurité permettant d’empêcher un accès public à des compartiments et à des objets S3. Block Public Access est activé par défaut pour tous les nouveaux compartiments. En quelques clics dans la console Amazon S3, vous pouvez appliquer les paramètres S3 Block Public Access à tous les compartiments au sein de votre compte AWS, ou à des compartiments S3 spécifiques. Une fois les paramètres appliqués à un compte AWS, tous les compartiments nouveaux ou existants et les objets associés à ce compte héritent des paramètres qui empêchent l’accès public. Les paramètres S3 Block Public Access se substituent aux autres autorisations S3, ce qui permet à l'administrateur du compte d'appliquer facilement une stratégie « aucun accès public », quelles que soient les autorisations d'accès existantes, ou la façon dont un objet est ajouté à un compartiment, la façon dont il est créé ou s'il existe des autorisations d'accès. Les commandes S3 Block Public Access sont vérifiables, assurent une couche supplémentaire de contrôle et utilisent les vérifications de permissions de compartiments AWS Trusted Advisor, les journaux AWS CloudTrail et les alarmes Amazon CloudWatch. Vous pouvez activer Block Public Access pour tous les comptes et compartiments que vous ne souhaitez pas rendre accessibles publiquement.

S3 Object Ownership est une fonctionnalité qui désactive les listes de contrôle d’accès (ACL), en confiant la propriété de tous les objets au propriétaire du compartiment et en simplifiant la gestion de l’accès aux données stockées dans S3. Lorsque vous configurez le paramètre du propriétaire du compartiment S3 Object Ownership, les ACL n’affecteront plus les autorisations pour votre compartiment et les objets qu’il contient. Tout contrôle d'accès sera défini à l'aide de politiques basées sur les ressources, de politiques utilisateur ou d'une combinaison des deux. Avant de désactiver les ACL, révisez vos ACL de compartiments et d'objets. Pour identifier les demandes Amazon S3 qui ont nécessité des ACL pour l’autorisation, vous pouvez utiliser le champ aclRequired dans journaux d’accès du serveur Amazon S3 ou AWS CloudTrail.

En utilisant des points d'accès S3 limités à un Virtual Private Cloud (VPC), vous pouvez facilement activer un pare-feu pour vos données S3 de votre réseau privé. En outre, vous pouvez utiliser des politiques de contrôle des services AWS pour exiger que tout nouveau point d'accès S3 de votre organisation soit limité exclusivement à l'accès VPC.

IAM Access Analyzer pour S3 est une fonctionnalité qui vous permet de simplifier la gestion des autorisations lorsque vous définissez, vérifiez et affinez les politiques de vos compartiments et points d’accès S3. Access Analyzer for S3 contrôle vos politiques d'accès aux compartiments existantes pour vérifier qu'elles fournissent uniquement l'accès requis à vos ressources S3. Access Analyzer for S3 évalue les politiques d'accès de votre compartiment pour vous permettre de corriger rapidement ceux qui proposent un accès non requis. Lorsque vous recevez des résultats montrant des accès potentiellement partagés à un compartiment, vous pouvez bloquer tous les accès publics au compartiment en un seul clic dans la console S3. À des fins d'audit, vous pouvez télécharger les découvertes d'Access Analyzer for S3 sous forme de rapport CSV. De plus, la console S3 signale les avertissements de sécurité, les erreurs et les suggestions de l'analyseur d'accès IAM lors de la création de vos stratégies S3. La console exécute automatiquement plus de 100 contrôles de stratégie pour valider vos stratégies. Ces contrôles vous font gagner du temps, vous guident pour résoudre les erreurs et vous aident à appliquer les bonnes pratiques de sécurité.

IAM vous permet de facilement analyser les accès et de diminuer les autorisations pour atteindre les moindres privilèges en fournissant un horodatage lorsqu'un rôle ou un utilisateur a utilisé en dernier S3 et les actions associées. Utilisez cette information « dernier accès » pour analyser l'accès à S3, identifier les autorisations non utilisées et les supprimer en toute confiance. Pour en savoir plus, consultez Ajustement des autorisations à l’aide des données sur les derniers accès.

Vous pouvez utiliser Amazon Macie pour découvrir et protéger des données sensibles stockées dans Amazon S3. Macie rassemble un inventaire S3 complet et évalue de manière continue chaque compartiment pour signaler les compartiments accessibles publiquement, les compartiments non chiffrés, ou ceux partagés ou répliqués avec des comptes AWS en dehors de votre organisation. Macie applique ensuite les techniques de machine learning et de correspondance de modèles aux compartiments de votre choix pour identifier les données sensibles, par exemple les données d'identification personnelle (PII), et vous envoyer les alertes correspondantes. Au fur et à mesure que les résultats de sécurité sont générés, ils sont poussés hors d'Amazon CloudWatch Events, ce qui facilite l'intégration aux systèmes existants de flux de travail et le déclenchement de l'application automatique de mesures correctives avec des services comme AWS Step Functions et agir, comme fermer un compartiment public ou ajouter des identifications de ressource.

AWS PrivateLink for S3 offre une connectivité privée entre Amazon S3 et les instances sur site. Vous pouvez provisionner des points de terminaison d'un VPC d'interface pour S3 dans votre VPC, afin de connecter vos applications sur site directement à S3, via AWS Direct Connect ou AWS VPN. Les demandes aux points de terminaison d'un VPC d'interface pour S3 sont automatiquement dirigées vers S3 via le réseau Amazon. Vous pouvez définir des groupes de sécurité et configurer des stratégies de point de terminaison de VPC pour vos points de terminaison d'un VPC d'interface pour des contrôles d'accès supplémentaires.

Pour en savoir plus, consultez Gestion des accès et sécurité S3, , l’e-book sur la sécurité et la protection des données S3 et la protection des données dans Amazon S3.

AWS Data Exchange for Amazon S3 accélère la mise en place d’informations grâce à un accès direct aux données Amazon S3 des fournisseurs de données. AWS Data Exchange pour Amazon S3 vous aide à trouver, à vous abonner et à utiliser facilement des fichiers de données tiers pour optimiser les coûts de stockage, simplifier la gestion des licences de données, etc. Il est destiné aux abonnés qui souhaitent utiliser facilement des fichiers de données tiers pour l'analyse de données avec les services AWS sans avoir à créer ou à gérer des copies de données. Il est également utile pour les fournisseurs de données qui souhaitent offrir un accès sur place aux données hébergées dans leurs compartiments Amazon S3.

Lorsque les abonnés aux données ont droit à un jeu de données AWS Data Exchange pour Amazon S3, ils peuvent commencer l'analyse de données sans avoir à configurer leurs propres compartiments S3, copier des fichiers de données dans ces compartiments S3 ou payer les frais de stockage associés. Il est possible d'effectuer des analyses de données avec des services AWS comme Amazon Athena, Amazon SageMaker Feature Store ou Amazon EMR. Les abonnés accèdent aux mêmes objets S3 que le fournisseur de données entretient et utilisent donc toujours les données les plus actuelles disponibles, sans travail d'ingénierie ou opérationnel supplémentaire nécessaire. Les fournisseurs de données peuvent facilement configurer AWS Data Exchange pour Amazon S3 en plus de leurs compartiments S3 existants pour partager un accès direct vers un compartiment S3 entier ou vers des préfixes et des objets S3 spécifiques. Après configuration, AWS Data Exchange gère automatiquement les abonnements, les droits, la facturation et le paiement.

Amazon S3 offre des performances de pointe pour le stockage d'objets dans le cloud. Amazon S3 prend en charge les requêtes parallèles, ce qui signifie que vous pouvez faire évoluer vos performances S3 par le biais du facteur de votre cluster de calcul, sans effectuer de personnalisation de votre application. Les performances évoluent par préfixe, ce qui vous permet d'utiliser autant de préfixes que vous le souhaitez en parallèle afin d'atteindre le débit requis. Il n'y a pas de limites quant au nombre de préfixes. Amazon S3 peut prendre en charge au moins 3 500 demandes par seconde pour l'ajout de données et 5 500 demandes par seconde pour la récupération des données. Chaque préfixe S3 peut prendre en charge ces taux de requêtes, ce qui simplifie l'augmentation considérable des performances.

Pour obtenir ces performances de taux de requêtes S3, vous n'avez pas besoin de randomiser les préfixes d'objets pour obtenir des performances plus rapides. Cela signifie que vous pouvez utiliser des modèles de dénomination logiques ou séquentiels dans la dénomination des objets S3 sans aucune incidence sur les performances. Reportez-vous aux Instructions sur les performances pour Amazon S3 et aux Modèles de conception des performances pour Amazon S3 pour obtenir les informations les plus récentes sur l’optimisation des performances pour Amazon S3.