Erstellen von Gewährungen

Eine individuelle Zugriffsberechtigung in einer S3 Access Grants-Instanz ermöglicht einer bestimmten Identität — einem AWS Identity and Access Management (IAM-) Prinzipal oder einem Benutzer oder einer Gruppe in einem Unternehmensverzeichnis — Zugriff von einem Standort aus zu erhalten, der in Ihrer S3 Access Grants-Instanz registriert ist. Ein Speicherort ordnet Buckets oder Präfixe einer IAM-Rolle zu. S3 Access Grants übernimmt diese IAM-Rolle, um temporäre Anmeldeinformationen an Gewährungsempfänger weiterzugeben.

Sie müssen in Ihrer S3-Access-Grants-Instance mindestens einen Speicherort registrieren, bevor Sie eine Zugriffsgewährung erstellen können.

Der Empfänger kann ein IAM-Benutzer, eine IAM-Rolle, ein Verzeichnisbenutzer oder eine Verzeichnisgruppe sein. Ein Verzeichnisbenutzer ist ein Benutzer aus Ihrem Unternehmensverzeichnis oder einer externen Identitätsquelle, den Sie mit Ihrer S3-Access-Grants-Instance verknüpft haben. Weitere Informationen finden Sie unter S3 Access Grants und Unternehmensverzeichnisidentitäten. Um eine Gewährung für einen bestimmten Verzeichnisbenutzer oder -gruppe über IAM Identity Center zu erstellen, suchen Sie die GUID, mit der dieser Benutzer in IAM Identity Center identifiziert wird, zum Beispiel a1b2c3d4-5678-90ab-cdef-EXAMPLE11111. Weitere Informationen zur Verwendung von IAM Identity Center zum Anzeigen von Benutzerinformationen finden Sie im AWS IAM Identity Center -Benutzerhandbuch unter Anzeigen von Benutzer- und Gruppenzuweisungen.

Sie können Zugriff auf einen Bucket, ein Präfix oder ein Objekt gewähren. Ein Präfix in Amazon S3 ist eine Zeichenfolge am Anfang eines Objektschlüsselnamens, mit der die Objekte in einem Bucket organisiert werden. Dabei kann es sich um eine beliebige Zeichenfolge handeln, z. B. um Objektschlüsselnamen in Ihrem Bucket, die mit dem Präfix engineering/ beginnen.

Unterpräfix

Wenn Sie Zugriff auf einen registrierten Speicherort gewähren, können Sie mit dem Feld Subprefix den Zugriff auf einen Teil des Speicherbereichs eingrenzen. Wenn es sich beim registrierten Speicherort, den Sie für die Gewährung auswählen, um den Standard-S3-Pfad (s3://) handelt, müssen Sie den Geltungsbereich der Gewährung einschränken. Sie können keine Zugriffsgewährung für den Standardspeicherort (s3://) erstellen, da der Empfänger hierdurch Zugriff auf alle Buckets in einer AWS-Region erhalten würde. Stattdessen müssen Sie den Geltungsbereich für eine der folgenden Kategorien festlegen:

Wenn Sie eine Zugriffsgewährung erstellen, bei der der registrierte Speicherort ein Bucket ist, können Sie eines der folgenden Elemente im Subprefix-Feld angeben, um den Geltungsbereich der Gewährung einzuschränken:

Nachdem Sie den Zuschuss erstellt haben, ist der Umfang der Gewährung, der in der Amazon S3 S3-Konsole angezeigt wird oder der GrantScope in der API oder AWS Command Line Interface (AWS CLI) -Antwort zurückgegeben wird, das Ergebnis der Verkettung des Standortpfads mit dem. Subprefix Dieser verkettete Pfad muss mit dem S3-Bucket, Präfix oder Objekt übereinstimmen, dem Sie Zugriff gewähren möchten.

Sie können eine Zugriffsgewährung mithilfe der Amazon S3 S3-Konsole AWS CLI, der Amazon S3 S3-REST-API und erstellen AWS SDKs.

aws s3control create-access-grant \
--account-id 111122223333 \
--access-grants-location-id a1b2c3d4-5678-90ab-cdef-EXAMPLE22222 \
--access-grants-location-configuration S3SubPrefix=prefixB* \
--permission READ \
--grantee GranteeType=IAM,GranteeIdentifier=arn:aws:iam::123456789012:user/data-consumer-3

{"CreatedAt": "2023-05-31T18:41:34.663000+00:00",
    "AccessGrantId": "a1b2c3d4-5678-90ab-cdef-EXAMPLE11111",
    "AccessGrantArn": "arn:aws:s3:us-east-2:111122223333:access-grants/default/grant/a1b2c3d4-5678-90ab-cdef-EXAMPLE11111",
    "Grantee": {
        "GranteeType": "IAM",
        "GranteeIdentifier": "arn:aws:iam::111122223333:user/data-consumer-3"
    },
    "AccessGrantsLocationId": "a1b2c3d4-5678-90ab-cdef-EXAMPLE22222",
    "AccessGrantsLocationConfiguration": {
        "S3SubPrefix": "prefixB*"
    },
    "GrantScope": "s3://DOC-BUCKET-EXAMPLE/prefix*",
    "Permission": "READ"
}

aws identitystore list-users --identity-store-id d-1a2b3c4d1234 

aws identitystore list-groups --identity-store-id d-1a2b3c4d1234

aws s3control create-access-grant \
--account-id 123456789012 \
--access-grants-location-id default \
--access-grants-location-configuration S3SubPrefix="amzn-s3-demo-bucket/rafael/*" \
--permission READWRITE \
--grantee GranteeType=DIRECTORY_USER,GranteeIdentifier=83d43802-00b1-7054-db02-f1d683aacba5 \