Beispiel 4 – Der Bucket-Eigentümer erteilt eine kontenübergreifende Berechtigung für Objekte, die ihm nicht gehören

Stellen Sie sicher, dass Sie drei Benutzer haben AWS-Konten und dass jedes Konto über einen Administratorbenutzer verfügt, wie in der Tabelle im vorherigen Abschnitt dargestellt.

1. Melden Sie sich bei Bedarf für AWS-Konten an. Wir bezeichnen diese Konten als Konto A, Konto B und Konto C.

2. Melden Sie sich mit den Anmeldeinformationen von Konto A bei der IAM-Konsole an und führen Sie Folgendes aus, um einen Administratorbenutzer zu erstellen:

   • Erstellen Sie den Benutzer AccountAadmin und notieren Sie dessen Sicherheitsanmeldeinformationen. Weitere Informationen zum Hinzufügen von Benutzern finden Sie unter Erstellen eines IAM-Benutzers in Ihrem AWS-Konto im IAM-Benutzerhandbuch.

   • Gewähren Sie Administratorrechte, AccountAadminindem Sie eine Benutzerrichtlinie anhängen, die vollen Zugriff gewährt. Weitere Informationen finden Sie unter Verwalten von IAM-Richtlinien im IAM-Benutzerhandbuch.

   • Schreiben Sie sich die IAM-Benutzer-Anmelde-URL auf dem Dashboard der IAM-Konsole auf. Benutzer in diesem Konto müssen diese URL für die Anmeldung an der AWS Management Console verwenden. Weitere Informationen finden Sie unter AWS Management Console Als IAM-Benutzer anmelden im IAM-Benutzerhandbuch.

3. Wiederholen Sie den obigen Schritt, um Administrator-Benutzer in Konto B und Konto C zu erstellen.

Notieren Sie für Konto C die kanonische Benutzer-ID.

Wenn Sie eine IAM-Rolle in Konto A erstellen, erteilt die Vertrauensrichtlinie Konto C die Berechtigung, die Rolle durch Angabe der Konto-ID zu übernehmen. Sie finden die Konteninformationen wie folgt:

1. Verwenden Sie Ihre AWS-Konto ID oder Ihren Kontoalias, Ihren IAM-Benutzernamen und Ihr Passwort, um sich bei der Amazon S3 S3-Konsole anzumelden.

2. Wählen Sie den Namen eines Amazon-S3-Buckets aus, um die Details zu diesem Bucket anzuzeigen.

3. Klicken Sie auf den Tab Berechtigungen und anschließend auf Access Control List.

4. Im Abschnitt Access for your AWS-Konto(Zugriff für Ihr AWS-Konto) in der Spalte Konto befindet sich eine lange Kennung, z. B. c1daexampleaaf850ea79cf0430f33d72579fd1611c97f7ded193374c0b163b6. Dies ist Ihre kanonische Benutzer-ID.

Für das Erstellen einer Bucket-Richtlinie benötigen Sie die folgenden Informationen. Notieren Sie sich die Werte:

Richten Sie entweder die AWS Command Line Interface (CLI) oder die ein AWS Tools for Windows PowerShell. Stellen Sie sicher, dass Sie die Administratoranmeldeinformationen wie folgt speichern:

Detaillierte Anweisungen finden Sie unter Einrichten der Tools für die Anleitungen.

Erstellen Sie einen Bucket. Diese Übung setzt voraus, dass der Bucket-Name amzn-s3-demo-bucket1 ist.

Detaillierte Anweisungen finden Sie unter Erstellen eines Buckets.

Fügen Sie die folgende Bucket-Richtlinie an. Die Richtlinie gewährt dem Administrator von Konto B unter bestimmten Bedingungen die Berechtigung, Objekte hochzuladen.

Aktualisieren Sie die Richtlinie, indem Sie Ihre eigenen Werte für amzn-s3-demo-bucket1, AccountB-ID und CanonicalUserId-of-AWSaccountA-BucketOwner angeben.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "111",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::AccountB-ID:user/AccountBadmin"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*"
        },
        {
            "Sid": "112",
            "Effect": "Deny",
            "Principal": {
                "AWS": "arn:aws:iam::AccountB-ID:user/AccountBadmin"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*",
            "Condition": {
                "StringNotEquals": {
                    "s3:x-amz-grant-full-control": "id=CanonicalUserId-of-AWSaccountA-BucketOwner"
                }
            }
        }
    ]
}

Bevor Sie die Rolle erstellen, richten Sie die verwaltete Richtlinie ein, die die von der Rolle benötigten Berechtigungen definiert. Diese Richtlinie fügen Sie zu einem späteren Zeitpunkt der Rolle an.

1. Wählen Sie links im Navigationsbereich Richtlinien und dann Richtlinie erstellen aus.

2. Klicken Sie neben Create Your Own Policy auf Select.

3. Geben Sie access-accountA-bucket in das Feld Policy Name ein.

4. Kopieren Sie die folgende Zugriffsrichtlinie und fügen Sie sie in das Feld Policy Document ein. Die Zugriffsrichtlinie gewährt der Rolle die s3:GetObject-Berechtigung, sodass der Benutzer aus Konto C bei Übernahme der Rolle nur die s3:GetObject-Operation ausführen kann.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "s3:GetObject",
         "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*"
       }
     ]
   }

5. Wählen Sie Create Policy (Richtlinie erstellen) aus.

   Die neue Richtlinie wird in der Liste der verwalteten Richtlinien angezeigt.

Wählen Sie im Navigationsbereich auf der linken Seite Rollen und dann Neue Rolle erstellen aus.

Wählen Sie unter Rollentyp auswählen die Option Rolle für kontoübergreifenden Zugriff aus und klicken Sie dann auf die Schaltfläche Auswählen neben Zugriff zwischen AWS-Konten Ihren eigenen Benutzern bereitstellen.

Geben Sie die Konto-ID von Konto C ein.

Für diese Anleitung müssen Benutzer keine Multi-Faktor-Authentifizierung (MFA) verwenden, um die Rolle zu übernehmen. Lassen Sie diese Option daher deaktiviert.

Klicken Sie auf Next Step, um die mit der Rolle verknüpften Berechtigungen einzurichten.

Aktivieren Sie das Kontrollkästchen neben der von Ihnen erstellten Richtlinie access-accountA-bucket und wählen Sie dann Nächster Schritt aus.

Die Prüfseite wird angezeigt, sodass Sie die Einstellungen bestätigen können, bevor Sie die Rolle erstellen. Ein sehr wichtiges, auf dieser Seite zu beachtendes Element ist der Link, den Sie an die Benutzer senden können, die die Rolle verwenden müssen. Benutzer, die den Link verwenden, gelangen direkt zur Seite Rolle wechseln, wobei die Felder „Konto-ID“ und „Rollenname“ bereits ausgefüllt sind. Dieser Link wird auch auf der Seite Role Summary für beliebige kontoübergreifende Rollen angezeigt.

Geben Sie examplerole für den Rollennamen ein und klicken Sie dann auf Nächster Schritt.

Nachdem Sie die Rolle überprüft haben, klicken Sie auf Rolle erstellen.

Die Rolle examplerole wird in der Liste der Rollen angezeigt.

Wählen Sie den Rollennamen examplerole aus.

Wählen Sie den Tab Trust Relationships.

Wählen Sie Richtliniendokument anzeigen und überprüfen Sie, ob die angezeigte Vertrauensrichtlinie mit der folgenden Richtlinie übereinstimmt.

Die folgende Vertrauensrichtlinie richtet eine Vertrauensbeziehung zu Konto C ein und gestattet ihm die Aktion sts:AssumeRole. Weitere Informationen finden Sie unter AssumeRole in der API-Referenz zu AWS Security Token Service

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::AccountC-ID:root"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Notieren Sie sich den Amazon Resource Name (ARN) der examplerole-Rolle, die Sie erstellt haben.

In den nachfolgenden Schritten ordnen Sie eine Benutzerrichtlinie ein, um einem IAM-Benutzer zu erlauben, diese Rolle einzunehmen. Sie identifizieren die Rolle über den ARN-Wert.

Melden Sie sich zunächst mit der IAM-Benutzer-Anmelde-URL für Konto C beim Benutzer as an AWS Management Console . AccountCadmin

Erstellen Sie in der IAM-Konsole einen Benutzer, Dave.

step-by-stepAnweisungen finden Sie unter Erstellen von IAM-Benutzern (AWS Management Console) im IAM-Benutzerhandbuch.

Notieren Sie sich die Anmeldeinformationen von Dave. Dave benötigt diese Anmeldeinformationen, um die Rolle examplerole zu übernehmen.

Erstellen Sie eine Inline-Richtlinie für den IAM-Benutzer Dave, um die sts:AssumeRole-Berechtigung an Dave für die examplerole-Rolle in Konto A zu delegieren.

1. Wählen Sie im Navigationsbereich auf der linken Seite Users (Benutzer).

2. Klicken Sie auf den Benutzernamen Dave.

3. Wählen Sie auf der Seite mit den Benutzerinformationen den Tab Permissions aus und erweitern Sie den Abschnitt Inline Policies.

4. Wählen Sie hier klicken (oder Create User Policy).

5. Wählen Sie Custom Policy und dann Select aus.

6. Geben Sie einen Namen für die Richtlinie in das Feld Policy Name ein.

7. Kopieren Sie die folgende Richtlinie in das Feld Policy Document:.

   Sie müssen die Richtlinie aktualisieren, indem Sie die AccountA-ID angeben.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["sts:AssumeRole"],
         "Resource": "arn:aws:iam::AccountA-ID:role/examplerole"
       }
     ]
   }

8. Klicken Sie auf Apply Policy (Richtlinie anwenden).

Speichern Sie Daves Anmeldeinformationen in der Konfigurationsdatei von, AWS CLI indem Sie ein weiteres Profil hinzufügen. AccountCDave

[profile AccountCDave]
aws_access_key_id = UserDaveAccessKeyID
aws_secret_access_key = UserDaveSecretAccessKey
region = us-west-2

Führen Sie in der Befehlszeile den folgenden AWS CLI assume-role Befehl unter Verwendung des AccountCDave Profils aus.

Sie müssen in dem Befehl den ARN-Wert aktualisieren, indem Sie die ID von Konto A angeben, in dem AccountA-ID definiert ist.

aws sts assume-role --role-arn arn:aws:iam::AccountA-ID:role/examplerole --profile AccountCDave --role-session-name test

Als Antwort gibt AWS Security Token Service (AWS STS) temporäre Sicherheitsanmeldeinformationen zurück (Zugriffsschlüssel-ID, geheimer Zugriffsschlüssel und ein Sitzungstoken).

Speichern Sie die temporären Sicherheitsanmeldedaten in der AWS CLI Konfigurationsdatei unter dem TempCred Profil.

[profile TempCred]
aws_access_key_id = temp-access-key-ID
aws_secret_access_key = temp-secret-access-key
aws_session_token = session-token
region = us-west-2

Führen Sie in der Befehlszeile den folgenden AWS CLI Befehl aus, um mithilfe der temporären Anmeldeinformationen auf Objekte zuzugreifen. Beispielsweise gibt der Befehl die Head-Objekt API an, um die Objekt-Metadaten für das Objekt HappyFace.jpg abzurufen.

aws s3api get-object --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg SaveFileAs.jpg --profile TempCred

Die examplerole zugeordnete Zugriffsrichtlinie erlaubt die Aktionen, deshalb verarbeitet Amazon S3 die Anforderung. Sie können das mit jeder anderen Aktion für jedes andere Objekt im Bucket ausprobieren.

Wenn Sie eine andere Aktion ausprobieren, z. B. get-object-acl, wird die Berechtigung verweigert, weil die Rolle diese Aktion nicht ausführen darf.

aws s3api get-object-acl --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg --profile TempCred

Wir haben den Benutzer Dave verwendet, um die Rolle zu übernehmen und unter Verwendung temporärer Anmeldeinformationen auf das Objekt zuzugreifen. Es könnte auch eine Anwendung in Konto C sein, die auf Objekte in amzn-s3-demo-bucket1 zugreift. Die Anwendung kann temporäre Anmeldeinformationen erhalten, und Konto C kann die Berechtigung der Anwendung delegieren, um examplerole zu übernehmen.

Nachdem Sie mit den Tests fertig sind, räumen Sie wie folgt auf:

1. Melden Sie sich mit den Anmeldeinformationen von Konto A an der AWS Management Console an und machen Sie Folgendes:

   • Entfernen Sie in der Amazon-S3-Konsole die an amzn-s3-demo-bucket1 angefügte Bucket-Richtlinie. Löschen Sie in den Bucket Properties die Richtlinie im Abschnitt Permissions.

   • Wenn der Bucket für diese Übung erstellt wurde, löschen Sie in der Amazon-S3-Konsole die Objekte und dann den Bucket.

   • Entfernen Sie in der IAM-Konsole die Datei, die examplerole Sie in Konto A erstellt haben. step-by-step Anweisungen finden Sie unter Löschen eines IAM-Benutzers im IAM-Benutzerhandbuch.

   • Entfernen Sie in der IAM-Konsole den Benutzer AccountAadmin.

Melden Sie sich mit den Anmeldeinformationen von Konto B in der IAM-Konsole an. Löschen Sie den Benutzer. AccountBadmin

Melden Sie sich mit den Anmeldeinformationen von Konto C in der IAM-Konsole an. Löschen Sie AccountCadminund den Benutzer Dave.