Beispiel 3: Bucket-Eigentümer, der Berechtigungen für Objekte erteilt, die ihm nicht gehören

1. Stellen Sie sicher, dass Sie über zwei Konten verfügen AWS-Konten und dass jedes Konto über einen Administrator verfügt, wie in der Tabelle im vorherigen Abschnitt dargestellt.

   1. Melden Sie sich bei Bedarf für einen an AWS-Konto.

   2. Melden Sie sich mit den Anmeldeinformationen von Konto A bei der IAM-Konsole an und führen Sie Folgendes aus, um einen Administratorbenutzer zu erstellen:

      • Erstellen Sie den Benutzer AccountAadmin und notieren Sie sich die Sicherheitsanmeldeinformationen des Benutzers. Weitere Informationen zum Hinzufügen von Benutzern finden Sie unter Erstellen eines IAM-Benutzers in Ihrem AWS-Konto im IAM-Benutzerhandbuch.

      • Gewähren Sie Administratorberechtigungen für, AccountAadminindem Sie eine Benutzerrichtlinie anhängen, die vollen Zugriff gewährt. Weitere Informationen finden Sie unter Verwalten von IAM-Richtlinien im IAM-Benutzerhandbuch.

      • Schreiben Sie sich die IAM-Benutzer-Anmelde-URL auf dem Dashboard der IAM-Konsole auf. Benutzer in diesem Konto müssen diese URL für die Anmeldung an der AWS Management Console verwenden. Weitere Informationen finden Sie unter Wie sich Benutzer in Ihrem Konto anmelden im IAM-Benutzerhandbuch.

   3. Wiederholen Sie den obigen Schritt unter Verwendung der Anmeldeinformationen von Konto B und erstellen Sie den Administrator-Benutzer AccountBadmin.

2. Richten Sie entweder die Tools AWS CLI oder die Tools für Windows PowerShell ein. Stellen Sie sicher, dass Sie die Administratoranmeldeinformationen wie folgt speichern:

   • Wenn Sie das verwenden AWS CLI, erstellen Sie zwei Profile AccountAadmin und AccountBadmin in der Konfigurationsdatei.

   • Wenn Sie die Tools für Windows verwenden PowerShell, stellen Sie sicher, dass Sie die Anmeldeinformationen für die Sitzung als AccountAadmin und speichernAccountBadmin.

   Detaillierte Anweisungen finden Sie unter Einrichten der Tools für die Anleitungen.

1. Erstellen Sie in der Amazon-S3-Konsole einen Bucket. In dieser Übung wird davon ausgegangen, dass der Bucket im Osten der USA (Nord-Virginia) AWS-Region erstellt wurde und der Name lautet. amzn-s3-demo-bucket1

   Detaillierte Anweisungen finden Sie unter Erstellen eines Buckets.

2. Erstellen Sie in der IAM-Konsole einen Benutzer Dave.

   step-by-stepAnweisungen finden Sie unter Erstellen von IAM-Benutzern (Konsole) im IAM-Benutzerhandbuch.

3. Notieren Sie sich die Anmeldeinformationen des Benutzers Dave auf.

4. Weisen Sie in der Amazon-S3-Konsole die folgende Bucket-Richtlinie dem amzn-s3-demo-bucket1-Bucket zu. Detaillierte Anweisungen finden Sie unter Hinzufügen einer Bucket-Richtlinie mit der Amazon-S3-Konsole. Folgen Sie den Schritten, um eine Bucket-Richtlinie hinzuzufügen. Informationen dazu, wie Sie ein Konto finden IDs, finden Sie unter Ihre AWS-Konto ID finden.

   Die Richtlinie erteilt Konto B die Berechtigung s3:PutObject und s3:ListBucket. Die Richtlinie erteilt außerdem dem Benutzer Dave die s3:GetObject-Berechtigung.

   {
      "Version": "2012-10-17",
      "Statement": [
         {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Principal": {
               "AWS": "arn:aws:iam::AccountB-ID:root"
            },
            "Action": [
               "s3:PutObject",
               "s3:ListBucket"
            ],
            "Resource": [
               "arn:aws:s3:::amzn-s3-demo-bucket1/*",
               "arn:aws:s3:::amzn-s3-demo-bucket1"
            ]
         },
         {
            "Sid": "Statement3",
            "Effect": "Allow",
            "Principal": {
               "AWS": "arn:aws:iam::AccountA-ID:user/Dave"
            },
            "Action": [
               "s3:GetObject"
            ],
            "Resource": [
               "arn:aws:s3:::amzn-s3-demo-bucket1/*"
            ]
         }  
      ]
   }

Mit dem AWS CLI

1. Laden Sie mithilfe des Befehls put-object AWS CLI ein Objekt hoch. Der Parameter --body im Befehl identifiziert die hochzuladende Quelldatei. Befindet sich die Datei beispielsweise auf dem C: Laufwerk eines Windows Maschine, spezifizierenc:\HappyFace.jpg. Der Parameter --key gibt den Schlüsselnamen für das Objekt an.

   aws s3api put-object --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg --body HappyFace.jpg --profile AccountBadmin

2. Erteilung einer Berechtigung in der Objekt-ACL, um dem Bucket-Eigentümer volle Kontrolle über das Objekt zu erteilen. Informationen dazu, wie Sie eine kanonische Benutzer-ID finden, finden Sie unter Die kanonische Benutzer-ID für Ihr AWS-Konto finden im AWS -Referenzhandbuch zur Kontoverwaltung.

   aws s3api put-object-acl --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg --grant-full-control id="AccountA-CanonicalUserID" --profile AccountBadmin

Verwenden der Tools für Windows PowerShell

1. Laden Sie mithilfe des Befehls Write-S3Object ein Objekt hoch.

   Write-S3Object -BucketName amzn-s3-demo-bucket1 -key HappyFace.jpg -file HappyFace.jpg -StoredCredentials AccountBadmin

2. Erteilung einer Berechtigung in der Objekt-ACL, um dem Bucket-Eigentümer volle Kontrolle über das Objekt zu erteilen.

   Set-S3ACL -BucketName amzn-s3-demo-bucket1 -Key HappyFace.jpg -CannedACLName "bucket-owner-full-control" -StoredCreden

Mit dem AWS CLI

1. Fügen Sie der AWS CLI Konfigurationsdatei die Anmeldeinformationen des Benutzers Dave hinzu und erstellen Sie ein neues Profil,UserDaveAccountA. Weitere Informationen finden Sie unter Einrichten der Tools für die Anleitungen.

   [profile UserDaveAccountA]
   aws_access_key_id = access-key
   aws_secret_access_key = secret-access-key
   region = us-east-1

2. Führen Sie den CLI-Befehl get-object aus, um HappyFace.jpg herunterzuladen und es lokal zu speichern. Sie stellen dem Benutzer Dave Anmeldeinformationen bereit, indem Sie den Parameter --profile hinzufügen.

   aws s3api get-object --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg Outputfile.jpg --profile UserDaveAccountA

Verwenden der Tools für Windows PowerShell

1. Speichern Sie die AWS Anmeldeinformationen des Benutzers Dave als UserDaveAccountA im persistenten Speicher.

   Set-AWSCredentials -AccessKey UserDave-AccessKey -SecretKey UserDave-SecretAccessKey -storeas UserDaveAccountA

2. Führen Sie den Befehl Read-S3Object aus, um das Objekt HappyFace.jpg herunterzuladen und es lokal zu speichern. Sie stellen dem Benutzer Dave Anmeldeinformationen bereit, indem Sie den Parameter -StoredCredentials hinzufügen.

   Read-S3Object -BucketName amzn-s3-demo-bucket1 -Key HappyFace.jpg -file HappyFace.jpg  -StoredCredentials UserDaveAccountA

1. Nachdem Sie mit den Tests fertig sind, räumen Sie wie folgt auf:

   1. Melden Sie sich mit den Anmeldeinformationen von Konto A an der AWS Management Console an und machen Sie Folgendes:

      • Entfernen Sie in der Amazon-S3-Konsole die an amzn-s3-demo-bucket1 angefügte Bucket-Richtlinie. Löschen Sie in den Bucket Properties die Richtlinie im Abschnitt Permissions.

      • Wenn der Bucket für diese Übung erstellt wurde, löschen Sie in der Amazon-S3-Konsole die Objekte und dann den Bucket.

      • Entfernen Sie in der IAM-Konsole den Benutzer AccountAadmin. step-by-step Anweisungen finden Sie unter Löschen eines IAM-Benutzers im IAM-Benutzerhandbuch.

2. Melden Sie sich mit den Anmeldeinformationen von Konto B an der AWS Management Console an. Löschen Sie den Benutzer in der IAM-Konsole. AccountBadmin