Einrichtung IAM mit S3 auf Outposts

AWS Identity and Access Management (IAM) hilft einem Administrator AWS-Service , den Zugriff auf AWS Ressourcen sicher zu kontrollieren. IAMAdministratoren kontrollieren, wer authentifiziert (angemeldet) und autorisiert werden kann (über Berechtigungen verfügt), um Amazon S3 on Outposts-Ressourcen zu verwenden. IAMist eine AWS-Service , die Sie ohne zusätzliche Kosten nutzen können. Standardmäßig haben IAM-Benutzer keine Berechtigungen für S3 auf Outpost-Ressourcen und -Vorgänge. Um Zugriffsberechtigungen für S3 auf Outposts-Ressourcen und API -Operationen IAM zu gewähren, können Sie Benutzer, Gruppen oder Rollen erstellen und Berechtigungen anhängen.

Um Zugriff zu gewähren, fügen Sie Ihren Benutzern, Gruppen oder Rollen Berechtigungen hinzu:

Zusätzlich zu IAM identitätsbasierten Richtlinien unterstützt S3 on Outposts sowohl Bucket- als auch Access-Point-Richtlinien. Bucket-Richtlinien und Zugriffspunk-Richtlinien sind ressourcenbasierte Richtlinien, die mit der S3-on-Outposts-Ressource verbunden sind.

Die Zugriffspunkt-Richtlinie funktioniert mit der Bucket-Richtlinie, die dem zugrunde liegenden S3-on-Outposts-Bucket zugeordnet ist. Damit eine Anwendung oder ein Benutzer über einen S3-on-Outposts-Zugriffspunkt auf Objekte in einem S3-on-Outposts-Bucket zugreifen kann, müssen sowohl die Zugriffspunkt- als auch die Bucket-Richtlinie die Anfrage zulassen.

Einschränkungen, die Sie in eine Zugriffspunktrichtlinie einschließen, gelten nur für Anforderungen, die über diesen Zugriffspunkt eingehen. Wenn beispielsweise ein Zugriffspunkt mit einem Bucket verbunden ist, können Sie die Zugriffspunkt-Richtlinie nicht verwenden, um Anfragen, die direkt an den Bucket gerichtet sind, zuzulassen oder zu verweigern. Einschränkungen, die Sie auf eine Bucket-Richtlinie anwenden, können jedoch Anfragen zulassen oder verweigern, die direkt an den Bucket oder über den Zugriffspunkt gestellt werden.

In einer IAM Richtlinie oder einer ressourcenbasierten Richtlinie definieren Sie, welche S3-Aktionen auf Outposts zulässig oder verweigert werden. S3-Aktionen für Outposts entsprechen spezifischen S3-Vorgängen für OutpostsAPI. Aktionen von S3 on Outposts verwenden das Namespace-Präfix s3-outposts:. Anfragen an das S3 on Outposts-Steuerelement API in einem AWS-Region und Anfragen an die API Objektendpunkte auf dem Outpost werden mithilfe des Namespace-Präfixes authentifiziert IAM und anhand dieses autorisiert. s3-outposts: Um mit S3 auf Outposts zu arbeiten, konfigurieren Sie Ihre IAM Benutzer und autorisieren Sie sie für den s3-outposts: IAM Namespace.

Weitere Informationen finden Sie unter Aktionen, Ressourcen und Bedingungsschlüssel für Amazon S3 on Outposts in der Service-Autorisierungs-Referenz.

Weitere Informationen IAM zur Einrichtung von S3 auf Outposts finden Sie in den folgenden Themen.

Prinzipale für die Richtlinien von S3 on Outposts

Wenn Sie eine ressourcenbasierte Richtlinie erstellen, um Zugriff auf Ihren S3-on-Outposts-Bucket zu gewähren, müssen Sie das Principal-Element verwenden, um die Person oder Anwendung anzugeben, die eine Anfrage für eine Aktion oder einen Vorgang auf dieser Ressource stellen kann. Für S3-on-Outposts-Richtlinien können Sie einen der folgenden Prinzipals verwenden:

Weitere Informationen zu diesem Principal Element finden Sie unter AWS JSONPolicy Elements: Principal im IAMBenutzerhandbuch.

Ressource ARNs für S3 auf Outposts

Amazon-Ressourcennamen (ARNs) für S3 auf Outposts enthalten die Outpost-ID zusätzlich zu der AWS-Region , auf die sich der Outpost bezieht, der AWS-Konto ID und dem Ressourcennamen. Um auf Ihre Outposts-Buckets und Objekte zuzugreifen und Aktionen für diese auszuführen, müssen Sie eines der in der folgenden Tabelle aufgeführten ARN Formate verwenden.

Der partition Wert in der ARN bezieht sich auf eine Gruppe von. AWS-Regionen Jeder AWS-Konto ist auf eine Partition beschränkt. Im Folgenden werden die unterstützten Partitionen angezeigt:

Beispielrichtlinien für S3 on Outposts

{
   "Version":"2012-10-17",
   "Id":"ExampleBucketPolicy1",
   "Statement":[
      {
         "Sid":"statement1",
         "Effect":"Allow",
         "Principal":{
            "AWS":"123456789012"
         },
         "Action":"s3-outposts:*",
         "Resource":"arn:aws:s3-outposts:region:123456789012:outpost/op-01ac5d28a6a232904/bucket/example-outposts-bucket"
      }
   ]
}

{
    "Version": "2012-10-17",
    "Id": "ExampleBucketPolicy2",
    "Statement": [
        {
            "Sid": "statement1",
            "Effect": "Allow",
            "Principal": { "AWS" : "*" },
            "Action":"s3-outposts:*",
            "Resource":"arn:aws:s3-outposts:region:123456789012:outpost/op-01ac5d28a6a232904/bucket/example-outposts-bucket",
            "Condition" : {
                "IpAddress" : {
                    "aws:SourceIp": "192.0.2.0/24" 
                },
                "NotIpAddress" : {
                    "aws:SourceIp": "198.51.100.0/24" 
                } 
            } 
        } 
    ]
} 

Berechtigungen für S3-on-Outposts-Endpunkte

S3 on Outposts benötigt eigene Berechtigungen für die Verwaltung von S3 on Outposts-Endpunktaktionen. IAM

Serviceverknüpfte Rollen für S3 on Outposts

S3 on Outposts verwendet IAM dienstbezogene Rollen, um einige Netzwerkressourcen in Ihrem Namen zu erstellen. Weitere Informationen finden Sie unter Verwenden von serviceverknüpften Rollen für S3 on Outposts.