如果你已经有一个 Microsoft Purview 帐户，可以继续设置获取 AWS S3 支持所需的配置。 首先 创建 Microsoft Purview 凭据以用于扫描 AWS 存储桶 。

如果需要创建 Microsoft Purview 帐户，请按照 创建 Microsoft Purview 帐户实例 中的说明操作。 创建完帐户后，返回到此处完成配置，并开始使用用于 Amazon S3 的 Microsoft Purview 连接器。

为 Microsoft Purview 创建新的 AWS 角色

Microsoft Purview 扫描程序部署在 AWS 的 Microsoft 帐户中。 若要允许 Microsoft Purview 扫描程序读取 S3 数据，必须在 AWS 门户的 IAM 区域创建一个专用角色供扫描程序使用。

此过程描述了如何创建具有所需的 Microsoft 帐户 ID 和来自 Microsoft Purview 的外部 ID 的 AWS 角色，然后在 Microsoft Purview 中输入角色 ARN 值。

查找 Microsoft 帐户 ID 和外部 ID：

在 Microsoft Purview 中，转到“管理中心”>“安全性和访问”>“凭据”。

选择“新建”以创建新凭据。

在出现的“ 新建凭据 ”窗格中的 “身份验证方法 ”下拉列表中，选择“ 角色 ARN ”。

然后将“Microsoft 帐户 ID”和“外部 ID”值复制到单独的文件中，或保留这两个 ID 以便将其粘贴到 AWS 中的相关字段 。 例如：

为 Microsoft Purview 创建 AWS 角色 ：

打开“Amazon Web Services”控制台，在“安全性、标识与合规性”下选择“IAM”。

依次选择“角色”和“创建角色” 。

选择“另一个 AWS 帐户”，然后输入以下值：

AmazonS3ReadOnlyAccess 策略提供扫描 S3 桶所需的最低权限，也可能包括其他权限。

若要仅应用扫描桶所需的最低权限，请根据你是要扫描帐户中的单个桶还是所有桶，使用 AWS 策略的最低权限 中列出的权限创建新策略。

将新策略应用于角色而不是 AmazonS3ReadOnlyAccess。

在“添加标签(可选)”区域中，可以选择为此新角色创建一个有意义的标签。 通过这些有用的标签，可以整理、跟踪和控制所创建的每个角色的访问权限。

根据需要为标签输入新密钥和值。 完成此步骤后，或者根据需要跳过此步骤后，选择“下一步: 查看”，可查看角色详细信息并完成角色创建。

在“查看”区域中，执行以下操作：

对于使用 AWS-KMS 加密的 Bucket，需要完成 特殊配置 才能启用扫描。

确保 Bucket 策略不会阻止连接。 有关详细信息，请参见:

在 Microsoft Purview 中，转到“管理中心”，然后在“安全性和访问”下选择“凭据”。

选择“新建”，然后在右侧显示的“新建凭据”窗格中，使用以下字段创建 Microsoft Purview 凭据：

有关 Microsoft Purview 凭据的详细信息，请参阅 Microsoft Purview 中用于源身份验证的凭据 。

为加密 Amazon S3 存储桶配置扫描

AWS 存储桶支持多种加密类型。 对于使用 AWS-KMS 加密的存储桶，需要完成特殊配置才能启用扫描。

对于未使用加密、使用 AES-256 或 AWS S3 加密的存储桶，请跳过此部分，继续 检索 Amazon S3 存储桶名称 。

查看 Amazon S3 存储桶使用的加密类型：

在 AWS 中，导航到“存储”>“S3”，然后从左侧菜单中选择“Bucket”。

选择要查看的存储桶。 在相应存储桶的详细信息页上，选择“属性”选项卡，然后向下滚动到“默认加密”区域。

如果所选存储桶配置了除 AWS-KMS 以外的任何加密设置，包括禁用了存储桶的默认加密，请跳过此过程的其余部分，继续 检索 Amazon S3 存储桶名称 。

如果所选存储桶配置了“AWS-KMS”加密，请按照下面的说明继续添加一个新策略，允许扫描使用自定义 AWS-KMS 加密的存储桶。

添加新策略以允许扫描使用自定义 AWS-KMS 加密的存储桶：

在 AWS 中，导航到“服务”>“IAM”>“策略”，然后选择“创建策略”。

在“创建策略”>“可视化编辑器”选项卡上，使用以下值定义策略：

在 AWS“标识和访问管理(IAM)”>“角色”区域中，搜索并选择 为 Microsoft Purview 创建 的新角色。

在角色的“摘要”页上，选择“角色 ARN”值右侧的“复制到剪贴板”按钮。

在 Microsoft Purview 中，可编辑 AWS S3 的凭据，然后将检索到的角色粘贴到“角色 ARN”字段中。 有关详细信息，请参阅 创建一个或多个 Amazon S3 Bucket 的扫描 。

检索 Amazon S3 存储桶名称

你需要有 Amazon S3 存储桶的名称，以便在 创建 Amazon S3 存储桶扫描 时将该名称复制到 Microsoft Purview

检索存储桶名称：

在 AWS 中，导航到“存储”>“S3”，然后从左侧菜单中选择“Bucket”。

搜索并选择你的存储桶，以查看该存储桶的详细信息页，然后将存储桶名称复制到剪贴板。

将存储桶名称粘贴到一个安全的文件中，并为该文件添加 s3:// 前缀，以创建将存储桶配置为 Microsoft Purview 帐户时需要输入的值。

例如： s3://purview-tutorial-bucket

只支持将存储桶的根级别作为 Microsoft Purview 数据源。 例如，下面的 URL 不受支持，因为其中包括一个子文件夹： s3://purview-tutorial-bucket/view-data

但是，如果为特定 S3 Bucket 配置扫描，可以选择一个或多个特定文件夹进行扫描。 有关详细信息，请查看用于 确定扫描范围 的步骤。

找到 AWS 帐户 ID

你需要使用 AWS 帐户 ID 将 AWS 帐户及其所有存储桶注册为 Microsoft Purview 数据源。

AWS 帐户 ID 是用于登录到 AWS 控制台的 ID。 在你登录后，也可以在 IAM 仪表板左侧导航选项下找到该 ID，它在仪表板顶部也显示为你的登录 URL 的数字部分：

添加一个 Amazon S3 存储桶作为 Microsoft Purview 帐户

如果你只有一个 S3 存储桶，并且想要将它注册到 Microsoft Purview 作为数据源，或者你的 AWS 帐户中有多个存储桶，但你并不想将这些存储桶全部都注册到 Microsoft Purview，请使用此过程。

添加 Bucket：

在 Microsoft Purview 中，转到“数据映射”页，然后选择“注册” >“Amazon S3”>“继续”。

如果有多个 集合 ，并且想要将 Amazon S3 添加到特定集合，请在右上方选择“映射视图”，然后在相应集合中选择“注册” 。

在打开的“注册源(Amazon S3)”窗格中，输入以下详细信息：

继续执行 创建一个或多个 Amazon S3 Bucket 的扫描 。

添加 AWS 帐户作为 Microsoft Purview 帐户

如果你的 Amazon 帐户中有多个 S3 存储桶，并且你想要将所有存储桶都注册为 Microsoft Purview 数据源，请使用此过程。

配置扫描 时，如果不希望同时扫描所有 Bucket，则可以选择要扫描的特定 Bucket。

添加 Amazon 帐户：

在 Microsoft Purview 中，转到“数据映射”页，然后选择“注册” >“Amazon 帐户”>“继续”。

如果有多个 集合 ，并且想要将 Amazon S3 添加到特定集合，请在右上方选择“映射视图”，然后在相应集合中选择“注册” 。

在打开的“注册源(Amazon S3)”窗格中，输入以下详细信息：

继续执行 创建一个或多个 Amazon S3 Bucket 的扫描 。

创建一个或多个 Amazon S3 Bucket 的扫描

当你添加存储桶作为 Microsoft Purview 数据源后，可以配置一个按计划的时间间隔运行或立即运行的扫描。

在 Microsoft Purview 治理门户 的左侧窗格中选择“数据映射”选项卡，然后执行以下操作之一：

在右侧打开的“扫描...”窗格上，定义以下字段，然后选择“继续”：

在“确定扫描范围”窗格中，选择要包括在扫描中的特定 Bucket 或文件夹。

在“选择扫描规则集”窗格上，选择默认规则集“AmazonS3”，或选择“新建扫描规则集”来创建新的自定义规则集。 选择规则集后，选择“继续”。

有关详细信息，请参阅 浏览 Microsoft Purview 扫描结果 。

浏览 Microsoft Purview 扫描结果

对 Amazon S3 存储桶的 Microsoft Purview 扫描完成后，请在 Microsoft Purview 的“数据映射”区域中向下钻取，查看扫描历史记录。

选择数据源以查看其详细信息，然后选择“扫描”选项卡，查看当前正在运行或已完成的任何扫描。 如果你已添加包含多个存储桶的 AWS 帐户，此帐户下将显示每个存储桶的扫描历史记录。

在 Microsoft Purview 的其他区域中，可以详细了解数据资产中的内容（包括 Amazon S3 存储桶）：

在 Microsoft Purview 数据目录中搜索，筛选特定存储桶。 例如：

查看见解报告，了解关于分类、敏感度标签、文件类型的统计信息，以及有关你的内容的更多细节。

所有 Microsoft Purview 见解报告都包括 Amazon S3 扫描结果，以及来自 Azure 数据源的其余结果。 报告筛选选项中也可能会额外添加一个 Amazon S3 资产类型（如果具有相关性）。

有关详细信息，请参阅 了解 Microsoft Purview 中的数据资产见解 。

AWS 策略的最低权限

扫描 S3 桶时要使用的、用于 为 Microsoft Purview 创建 AWS 角色 的默认过程使用 AmazonS3ReadOnlyAccess 策略。

AmazonS3ReadOnlyAccess 策略提供扫描 S3 桶所需的最低权限，也可能包括其他权限。

若要仅应用扫描桶所需的最低权限，请根据你是要扫描帐户中的单个桶还是所有桶，使用以下部分中列出的权限创建新策略。

将新策略应用于角色而不是 AmazonS3ReadOnlyAccess。

扫描单个 S3 桶时，最低 AWS 权限包括：

确保 AWS 角色具有读取所选 S3 Bucket 所需的权限。 所需权限包括 AmazonS3ReadOnlyAccess 或 最低读取权限 ，以及已加密 Bucket 的 KMS Decrypt 。

确保 AWS 角色具有正确的 Microsoft 帐户 ID。 在“AWS IAM”区域中，选择“角色”>“信任关系”选项卡，然后再次按照 为 Microsoft Purview 创建新的 AWS 角色 中的步骤验证详细信息。

有关详细信息，请参阅 找不到指定的 Bucket 。

找不到指定的 Bucket

确保正确定义了 S3 Bucket URL：