Beispiel 1: Bucket-Eigentümer erteilt seinen Benutzern Bucket-Berechtigungen

1. Stellen Sie sicher, dass Sie über eine verfügen AWS-Konto und dass sie über einen Benutzer mit Administratorrechten verfügt.

   1. Melden Sie sich bei Bedarf für eine an AWS-Konto. Wir bezeichnen dieses Konto als Konto A.

      1. Gehen Sie zu https://aws.amazon.com/s3 und wählen Sie AWS Konto erstellen.

      2. Folgen Sie den Anweisungen auf dem Bildschirm.

         AWS benachrichtigt Sie per E-Mail, wenn Ihr Konto aktiv und für Sie verfügbar ist.

   2. Erstellen Sie in Konto A einen AdministratorbenutzerAccountAadmin. Melden Sie sich mit den Anmeldeinformationen von Konto A bei der IAMKonsole an und gehen Sie wie folgt vor:

      1. Erstellen Sie einen Benutzer AccountAadmin und notieren Sie sich die Sicherheitsanmeldeinformationen des Benutzers.

         Anweisungen finden Sie im IAM Benutzerhandbuch unter Einen Benutzer AWS-Konto in Ihrem erstellen. IAM

      2. Gewähren Sie Administratorrechte, AccountAadminindem Sie eine Benutzerrichtlinie anhängen, die vollen Zugriff gewährt.

         Anweisungen finden Sie im IAMBenutzerhandbuch unter IAMRichtlinien verwalten.

      3. Notieren Sie sich die IAMBenutzeranmeldung URL für AccountAadmin. Sie müssen dies verwenden, URL wenn Sie sich bei der AWS Management Console anmelden. Weitere Informationen darüber, wo Sie die Anmeldung findenURL, finden Sie im Benutzerhandbuch unter AWS Management Console Als IAM Benutzer anmelden. IAM Beachten Sie die URL für jedes Konto.

2. Richten Sie entweder das AWS CLI oder das ein AWS Tools for Windows PowerShell. Stellen Sie sicher, dass Sie die Administrator-Benutzeranmeldedaten wie folgt speichern:

   • Wenn Sie das verwenden AWS CLI, erstellen Sie ein ProfilAccountAadmin,, in der Konfigurationsdatei.

   • Wenn Sie die verwenden AWS Tools for Windows PowerShell, stellen Sie sicher, dass Sie die Anmeldeinformationen für die Sitzung als speichernAccountAadmin.

   Detaillierte Anweisungen finden Sie unter Einrichtung der Tools für die exemplarischen Vorgehensweisen.

1. Erstellen Sie Ressourcen aus einem Bucket und einem Benutzer IAM

   1. Erstellen Sie in der Amazon-S3-Konsole einen Bucket. Notieren Sie sich den Bucket, AWS-Region in dem Sie den Bucket erstellt haben. Detaillierte Anweisungen finden Sie unter Erstellen eines Buckets.

   2. Gehen Sie in der IAMKonsole wie folgt vor:

      1. Erstellen Sie einen Benutzer mit dem Namen Dave.

         step-by-stepAnweisungen finden Sie im Benutzerhandbuch unter IAMBenutzer erstellen (Konsole). IAM

      2. Notieren Sie sich die UserDave Anmeldeinformationen.

      3. Notieren Sie sich den Amazon-Ressourcennamen (ARN) für den Benutzer Dave. Wählen Sie in der IAMKonsole den Benutzer aus, und auf der Registerkarte Zusammenfassung wird der Benutzer angezeigtARN.

2. Erteilen Sie Berechtigungen.

   Da der Bucket-Besitzer und das übergeordnete Konto, zu dem der Benutzer gehört, identisch sind, AWS-Konto können sie Benutzerberechtigungen mithilfe einer Bucket-Richtlinie, einer Benutzerrichtlinie oder beidem gewähren. In diesem Beispiel machen Sie beides. Wenn das Objekt auch demselben Konto gehört, kann der Bucket-Besitzer Objektberechtigungen in der Bucket-Richtlinie (oder einer IAM Richtlinie) gewähren.

   1. Fügen Sie in der Amazon S3 S3-Konsole die folgende Bucket-Richtlinie hinzu awsexamplebucket1.

      Die Richtlinie enthält zwei Anweisungen.

      • Die erste Anweisung erteilt Dave Berechtigungen für die Bucket-Operationen s3:GetBucketLocation und s3:ListBucket.

      • Die zweite Anweisung erteilt die s3:GetObject-Berechtigung. Konto A gehört auch das Objekt, deshalb kann der Kontoadministrator die s3:GetObject-Berechtigung erteilen.

      In der Principal Erklärung wird Dave von seinem Benutzer identifiziertARN. Weitere Informationen zu Richtlinienelementen finden Sie unter Richtlinien und Berechtigungen in Amazon S3.

      {
         "Version": "2012-10-17",
         "Statement": [
            {
               "Sid": "statement1",
               "Effect": "Allow",
               "Principal": {
                  "AWS": "arn:aws:iam::AccountA-ID:user/Dave"
               },
               "Action": [
                  "s3:GetBucketLocation",
                  "s3:ListBucket"
               ],
               "Resource": [
                  "arn:aws:s3:::awsexamplebucket1"
               ]
            },
            {
               "Sid": "statement2",
               "Effect": "Allow",
               "Principal": {
                  "AWS": "arn:aws:iam::AccountA-ID:user/Dave"
               },
               "Action": [
                   "s3:GetObject"
               ],
               "Resource": [
                  "arn:aws:s3:::awsexamplebucket1/*"
               ]
            }
         ]
      }

   2. Erstellen Sie mithilfe der folgenden Richtlinie eine Inlinerichtlinie für den Benutzer Dave. Die Richtlinie erteilt dem Benutzer Dave die s3:PutObject-Berechtigung. Sie müssen die Richtlinie aktualisieren, indem Sie Ihren Bucket-Namen angeben.

      {
         "Version": "2012-10-17",
         "Statement": [
            {
               "Sid": "PermissionForObjectOperations",
               "Effect": "Allow",
               "Action": [
                  "s3:PutObject"
               ],
               "Resource": [
                  "arn:aws:s3:::awsexamplebucket1/*"
               ]
            }
         ]
      }

      Anweisungen finden Sie IAMpolicies im IAMBenutzerhandbuch unter Verwalten. Beachten Sie, dass Sie sich mit den Anmeldeinformationen von Konto A an der Konsole anmelden müssen.

Testen Sie die Berechtigungen mit dem AWS CLI

1. Aktualisieren Sie die AWS CLI Konfigurationsdatei, indem Sie das folgende UserDaveAccountA Profil hinzufügen. Weitere Informationen finden Sie unter Einrichtung der Tools für die exemplarischen Vorgehensweisen.

   [profile UserDaveAccountA]
   aws_access_key_id = access-key
   aws_secret_access_key = secret-access-key
   region = us-east-1

2. Überprüfen Sie, ob Dave Vorgänge ausführen kann, für die ihm in der Benutzerrichtlinie Berechtigungen erteilt wurden. Laden Sie mit dem folgenden AWS CLI put-object Befehl ein Beispielobjekt hoch.

   Der Parameter --body im Befehl identifiziert die hochzuladende Quelldatei. Wenn sich die Datei beispielsweise im Stammverzeichnis des Laufwerks C: auf einem Windows Maschine, die Sie angebenc:\HappyFace.jpg. Der Parameter --key gibt den Schlüsselnamen für das Objekt an.

   aws s3api put-object --bucket awsexamplebucket1 --key HappyFace.jpg --body HappyFace.jpg --profile UserDaveAccountA

   Führen Sie den folgenden AWS CLI Befehl aus, um das Objekt abzurufen.

   aws s3api get-object --bucket awsexamplebucket1 --key HappyFace.jpg OutputFile.jpg --profile UserDaveAccountA

Testen Sie die Berechtigungen mit dem AWS Tools for Windows PowerShell

1. Speichern Sie Daves Anmeldeinformationen alsAccountADave. Anschließend verwenden Sie diese Anmeldeinformationen, um PUT GET ein Objekt zu erstellen.

   set-awscredentials -AccessKey AccessKeyID -SecretKey SecretAccessKey -storeas AccountADave

2. Laden Sie mithilfe des AWS Tools for Windows PowerShell Write-S3Object Befehls ein Beispielobjekt hoch und verwenden Sie dabei die gespeicherten Anmeldeinformationen von Benutzer Dave.

   Write-S3Object -bucketname awsexamplebucket1 -key HappyFace.jpg -file HappyFace.jpg -StoredCredentials AccountADave

   Laden Sie das zuvor hochgeladene Objekt herunter.

   Read-S3Object -bucketname awsexamplebucket1 -key HappyFace.jpg -file Output.jpg -StoredCredentials AccountADave