Beispiel 4: Bucket-Besitzer gewährt kontoübergreifende Berechtigungen für Objekte, die er nicht besitzt

Stellen Sie sicher, dass Sie drei Benutzer haben AWS-Konten und dass jedes Konto über einen Administratorbenutzer verfügt, wie in der Tabelle im vorherigen Abschnitt dargestellt.

1. Melden Sie sich bei Bedarf für AWS-Konten an. Wir bezeichnen diese Konten als Konto A, Konto B und Konto C.

2. Melden Sie sich mit den Anmeldeinformationen von Konto A bei der IAMKonsole an und gehen Sie wie folgt vor, um einen Administratorbenutzer zu erstellen:

   • Erstellen Sie einen Benutzer AccountAadmin und notieren Sie sich seine Sicherheitsanmeldedaten. Weitere Informationen zum Hinzufügen von Benutzern finden Sie unter Erstellen eines IAM Benutzers AWS-Konto in Ihrem IAM Benutzerhandbuch.

   • Gewähren Sie Administratorrechte, AccountAadminindem Sie eine Benutzerrichtlinie anhängen, die vollen Zugriff gewährt. Anweisungen finden Sie im IAMBenutzerhandbuch unter IAMRichtlinien verwalten.

   • Notieren Sie sich im IAM Konsolen-Dashboard die IAMBenutzeranmeldung URL. Benutzer in diesem Konto müssen dies URL bei der Anmeldung bei der AWS Management Console verwenden. Weitere Informationen finden Sie unter AWS Management Console Als IAM Benutzer anmelden im IAMBenutzerhandbuch.

3. Wiederholen Sie den obigen Schritt, um Administrator-Benutzer in Konto B und Konto C zu erstellen.

Notieren Sie sich für Konto C die kanonische Benutzer-ID.

Wenn Sie eine IAM Rolle in Konto A erstellen, erteilt die Vertrauensrichtlinie Konto C die Erlaubnis, die Rolle anzunehmen, indem die Konto-ID angegeben wird. Sie finden die Konteninformationen wie folgt:

1. Verwenden Sie Ihre AWS-Konto ID oder Ihren Kontoalias, Ihren IAM Benutzernamen und Ihr Passwort, um sich bei der Amazon S3 S3-Konsole anzumelden.

2. Wählen Sie den Namen eines Amazon-S3-Buckets aus, um die Details zu diesem Bucket anzuzeigen.

3. Klicken Sie auf den Tab Berechtigungen und anschließend auf Access Control List.

4. Im Abschnitt Access for your AWS-Konto(Zugriff für Ihr AWS-Konto) in der Spalte Konto befindet sich eine lange Kennung, z. B. c1daexampleaaf850ea79cf0430f33d72579fd1611c97f7ded193374c0b163b6. Dies ist Ihre kanonische Benutzer-ID.

Für das Erstellen einer Bucket-Richtlinie benötigen Sie die folgenden Informationen. Notieren Sie sich diese Werte:

Richten Sie entweder das AWS Command Line Interface (CLI) oder das ein AWS Tools for Windows PowerShell. Stellen Sie sicher, dass Sie die Administrator-Benutzeranmeldedaten wie folgt speichern:

Detaillierte Anweisungen finden Sie unter Einrichtung der Tools für die exemplarischen Vorgehensweisen.

Erstellen Sie einen Bucket. Diese Übung setzt voraus, dass der Bucket-Name amzn-s3-demo-bucket1 ist.

Detaillierte Anweisungen finden Sie unter Erstellen eines Buckets.

Fügen Sie die folgende Bucket-Richtlinie bei. Die Richtlinie gewährt dem Administrator für Konto B bedingte Berechtigungen zum Hochladen von Objekten.

Aktualisieren Sie die Richtlinie, indem Sie Ihre eigenen Werte für amzn-s3-demo-bucket1AccountB-ID, und die angebenCanonicalUserId-of-AWSaccountA-BucketOwner.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "111",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::AccountB-ID:user/AccountBadmin"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*"
        },
        {
            "Sid": "112",
            "Effect": "Deny",
            "Principal": {
                "AWS": "arn:aws:iam::AccountB-ID:user/AccountBadmin"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*",
            "Condition": {
                "StringNotEquals": {
                    "s3:x-amz-grant-full-control": "id=CanonicalUserId-of-AWSaccountA-BucketOwner"
                }
            }
        }
    ]
}

Bevor Sie die Rolle erstellen, richten Sie die verwaltete Richtlinie ein, die die von der Rolle benötigten Berechtigungen definiert. Diese Richtlinie fügen Sie zu einem späteren Zeitpunkt der Rolle an.

1. Wählen Sie im Navigationsbereich auf der linken Seite Richtlinien und dann Richtlinie erstellen aus.

2. Klicken Sie neben Create Your Own Policy auf Select.

3. Geben Sie access-accountA-bucket in das Feld Policy Name ein.

4. Kopieren Sie die folgende Zugriffsrichtlinie und fügen Sie sie in das Feld Policy Document ein. Die Zugriffsrichtlinie gewährt der Rolle die s3:GetObject Berechtigung, sodass der Benutzer des Kontos C, wenn er die Rolle annimmt, nur den s3:GetObject Vorgang ausführen kann.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "s3:GetObject",
         "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*"
       }
     ]
   }

5. Wählen Sie Create Policy (Richtlinie erstellen) aus.

   Die neue Richtlinie wird in der Liste der verwalteten Richtlinien angezeigt.

Wählen Sie im Navigationsbereich auf der linken Seite Rollen und dann Neue Rolle erstellen aus.

Wählen Sie unter Rollentyp auswählen die Option Rolle für kontoübergreifenden Zugriff aus und klicken AWS-Konten Sie dann auf die Schaltfläche Auswählen neben Eigenzugriff bereitstellen.

Geben Sie die Konto-ID von Konto C ein.

Für diese exemplarische Vorgehensweise müssen Sie nicht verlangen, dass Benutzer über eine Multi-Faktor-Authentifizierung (MFA) verfügen, um die Rolle übernehmen zu können. Wählen Sie diese Option also nicht aus.

Klicken Sie auf Next Step, um die mit der Rolle verknüpften Berechtigungen einzurichten.

Aktivieren Sie das Kontrollkästchen neben der Access-Account-A-Bucket-Richtlinie, die Sie erstellt haben, und wählen Sie dann Next Step aus.

Die Prüfseite wird angezeigt, sodass Sie die Einstellungen bestätigen können, bevor Sie die Rolle erstellen. Ein sehr wichtiges, auf dieser Seite zu beachtendes Element ist der Link, den Sie an die Benutzer senden können, die die Rolle verwenden müssen. Benutzer, die den Link verwenden, gelangen direkt zur Seite „Rolle wechseln“, auf der die Felder Konto-ID und Rollenname bereits ausgefüllt sind. Dieser Link wird auch auf der Seite Role Summary für beliebige kontoübergreifende Rollen angezeigt.

Geben Sie examplerole den Rollennamen ein und wählen Sie dann Next Step.

Nachdem Sie die Rolle überprüft haben, wählen Sie Create Role aus.

Die Rolle examplerole wird in der Liste der Rollen angezeigt.

Wählen Sie den Rollennamenexamplerole.

Wählen Sie den Tab Trust Relationships.

Wählen Sie Richtliniendokument anzeigen und überprüfen Sie, ob die angezeigte Vertrauensrichtlinie mit der folgenden Richtlinie übereinstimmt.

Die folgende Vertrauensrichtlinie richtet eine Vertrauensbeziehung zu Konto C ein und gestattet ihm die Aktion sts:AssumeRole. Weitere Informationen finden Sie unter AssumeRolein der AWS Security Token Service APIReferenz.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::AccountC-ID:root"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Notieren Sie sich den Amazon-Ressourcennamen (ARN) der examplerole Rolle, die Sie erstellt haben.

Später in den folgenden Schritten fügen Sie eine Benutzerrichtlinie hinzu, die es einem IAM Benutzer ermöglicht, diese Rolle anzunehmen, und Sie identifizieren die Rolle anhand des ARN Werts.

Melden Sie sich mit der IAM Benutzeranmeldung URL für Konto C zunächst AWS Management Console als AccountCadmin Benutzer an.

Erstellen Sie in der IAMKonsole einen Benutzer, Dave.

step-by-stepAnweisungen finden Sie im Benutzerhandbuch unter IAMBenutzer erstellen (AWS Management Console). IAM

Notieren Sie sich die Dave-Anmeldeinformationen. Dave benötigt diese Anmeldeinformationen, um die Rolle examplerole zu übernehmen.

Erstellen Sie eine Inline-Richtlinie für den IAM Dave-Benutzer, um Dave die sts:AssumeRole Berechtigung für die examplerole Rolle in Konto A zu delegieren.

1. Wählen Sie im Navigationsbereich auf der linken Seite Users (Benutzer).

2. Wählen Sie den Benutzernamen Dave.

3. Wählen Sie auf der Seite mit den Benutzerinformationen den Tab Permissions aus und erweitern Sie den Abschnitt Inline Policies.

4. Wählen Sie hier klicken (oder Create User Policy).

5. Wählen Sie Custom Policy und dann Select aus.

6. Geben Sie einen Namen für die Richtlinie in das Feld Policy Name ein.

7. Kopieren Sie die folgende Richtlinie in das Feld Policy Document:.

   Sie müssen die Richtlinie aktualisieren, indem Sie die angebenAccountA-ID.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["sts:AssumeRole"],
         "Resource": "arn:aws:iam::AccountA-ID:role/examplerole"
       }
     ]
   }

8. Klicken Sie auf Apply Policy (Richtlinie anwenden).

Speichern Sie Daves Anmeldeinformationen in der Konfigurationsdatei von, AWS CLI indem Sie ein weiteres Profil hinzufügen,AccountCDave.

[profile AccountCDave]
aws_access_key_id = UserDaveAccessKeyID
aws_secret_access_key = UserDaveSecretAccessKey
region = us-west-2

Führen Sie in der Befehlszeile den folgenden AWS CLI assume-role Befehl unter Verwendung des AccountCDave Profils aus.

Sie müssen den ARN Wert im Befehl aktualisieren, indem Sie angebenAccountA-ID, wo definiert examplerole ist.

aws sts assume-role --role-arn arn:aws:iam::AccountA-ID:role/examplerole --profile AccountCDave --role-session-name test

Als Antwort gibt AWS Security Token Service (AWS STS) temporäre Sicherheitsanmeldedaten zurück (Zugriffsschlüssel-ID, geheimer Zugriffsschlüssel und ein Sitzungstoken).

Speichern Sie die temporären Sicherheitsanmeldedaten in der AWS CLI Konfigurationsdatei unter dem TempCred Profil.

[profile TempCred]
aws_access_key_id = temp-access-key-ID
aws_secret_access_key = temp-secret-access-key
aws_session_token = session-token
region = us-west-2

Führen Sie in der Befehlszeile den folgenden AWS CLI Befehl aus, um mithilfe der temporären Anmeldeinformationen auf Objekte zuzugreifen. Der Befehl gibt beispielsweise das Head-Objekt an, API um Objektmetadaten für das HappyFace.jpg Objekt abzurufen.

aws s3api get-object --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg SaveFileAs.jpg --profile TempCred

Die examplerole zugeordnete Zugriffsrichtlinie erlaubt die Aktionen, deshalb verarbeitet Amazon S3 die Anforderung. Sie können das mit jeder anderen Aktion für jedes andere Objekt im Bucket ausprobieren.

Wenn Sie beispielsweise eine andere Aktion ausprobieren, wird get-object-acl Ihnen die Berechtigung verweigert, weil die Rolle diese Aktion nicht erlaubt.

aws s3api get-object-acl --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg --profile TempCred

Wir haben den Benutzer Dave verwendet, um die Rolle zu übernehmen und unter Verwendung temporärer Anmeldeinformationen auf das Objekt zuzugreifen. Es könnte auch eine Anwendung in Konto C sein, die auf Objekte in amzn-s3-demo-bucket1 zugreift. Die Anwendung kann temporäre Anmeldeinformationen erhalten, und Konto C kann die Berechtigung der Anwendung delegieren, um examplerole zu übernehmen.

Wenn Sie mit dem Testen fertig sind, können Sie wie folgt aufräumen:

1. Melden Sie sich mit den Anmeldeinformationen von Konto A an der AWS Management Console an und machen Sie Folgendes:

   • Entfernen Sie in der Amazon-S3-Konsole die an amzn-s3-demo-bucket1 angefügte Bucket-Richtlinie. Löschen Sie in den Bucket Properties die Richtlinie im Abschnitt Permissions.

   • Wenn der Bucket für diese Übung erstellt wurde, löschen Sie in der Amazon-S3-Konsole die Objekte und dann den Bucket.

   • Entfernen Sie in der IAMKonsole die Datei, die examplerole Sie in Konto A erstellt haben. Eine step-by-step Anleitung dazu finden Sie im IAM Benutzerhandbuch unter Löschen eines IAM Benutzers.

   • Entfernen Sie den AccountAadminBenutzer in der IAMKonsole.

Melden Sie sich mit den Anmeldeinformationen für Konto B bei der IAMKonsole an. Löschen Sie den Benutzer AccountBadmin.

Melden Sie sich mit den Anmeldeinformationen von Konto C bei der IAMKonsole an. Delete AccountCadminund der Benutzer Dave.