Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

So funktioniert S3 Files mit IAM

Auf dieser Seite wird beschrieben, wie AWS Identity and Access Management (IAM) mit S3-Dateien funktioniert und wie Sie IAM-Richtlinien verwenden können, um den Zugriff auf Ihre Dateisysteme zu kontrollieren.

S3 Files verwendet IAM für zwei verschiedene Arten der Zugriffskontrolle:

Mit IAM können Sie Clients erlauben, bestimmte Aktionen auf einem Dateisystem durchzuführen, einschließlich Lese-, Schreib- und Root-Zugriff. Eine „allow“-Erlaubnis für eine Aktion in einer IAM-Identitätsrichtlinie oder einer Dateisystem-Ressourcenrichtlinie erlaubt den Zugriff auf diese Aktion. Die Genehmigung muss nicht sowohl in einer Identitäts- als auch in einer Ressourcenrichtlinie erteilt werden.

Ihre S3-Bucket-Richtlinien in Ihrem verknüpften S3-Bucket regeln auch den Zugriff von Ihrer Rechenressource und Ihrem Dateisystem auf Ihren S3-Bucket. Sie müssen auch sicherstellen, dass die Bucket-Richtlinien Ihres Quell-Buckets den Zugriff von Ihrer Rechenressource oder Ihrem Dateisystem nicht verweigern. Weitere Informationen finden Sie unter Bucket-Richtlinien für Amazon S3.

Identity-based Richtlinien

Identity-based Richtlinien sind JSON-Richtlinien, die Sie IAM-Benutzern, -Gruppen oder -Rollen zuordnen. Sie können diese Berechtigungen gewähren, indem Sie benutzerdefinierte Richtlinien schreiben oder eine AWS verwaltete Richtlinie anhängen. Weitere Informationen zu verfügbaren verwalteten Richtlinien sowohl für den API-Zugriff als auch für den Client-Zugriff finden Sie unter AWS Verwaltete Richtlinien für Amazon S3-Dateien.

S3 Files optimiert auch die Leseleistung, indem Kunden Dateidaten direkt aus dem S3-Quell-Bucket lesen können. Wenn Sie ein S3-Dateisystem auf Ihrer Rechenressource bereitstellen, müssen Sie der IAM-Rolle Ihrer Rechenressource eine Inline-Richtlinie hinzufügen, die Berechtigungen zum Lesen von Objekten aus dem angegebenen S3-Bucket gewährt. Der Mount-Helfer verwendet diese Berechtigungen, um die S3-Daten zu lesen. Weitere Informationen zu dieser Richtlinie finden Sie unterIAM-Rolle zum Anhängen Ihres Dateisystems an AWS Ressourcen berechnen.

Resource-based Richtlinien

Eine Dateisystemrichtlinie ist eine auf IAM-Ressourcen basierende Richtlinie, die Sie direkt an ein Dateisystem anhängen, um den Clientzugriff zu steuern. Sie können Dateisystemrichtlinien verwenden, um Clients Berechtigungen zur Ausführung von Vorgängen wie Mounten, Schreiben und Root-Zugriff zu gewähren oder zu verweigern.

Ein Dateisystem hat entweder eine leere (Standard-) Dateisystemrichtlinie oder genau eine explizite Richtlinie. S3-Dateisystemrichtlinien haben ein Limit von 20.000 Zeichen. Informationen zum Erstellen und Verwalten von Dateisystemrichtlinien finden Sie unterErstellen von Dateisystemrichtlinien.

Aktionen für S3-Dateien für Clients

Sie können die folgenden Aktionen in einer Dateisystemrichtlinie angeben, um den Client-Zugriff zu steuern:

Bedingungsschlüssel für S3-Dateien für Clients

Sie können die folgenden Bedingungsschlüssel im Condition Element einer Dateisystemrichtlinie verwenden, um die Zugriffskontrolle weiter zu verfeinern:

Beispiele für Dateisystemrichtlinien

Beispiel: Erteilen von schreibgeschütztem Zugriff

Die folgende Dateisystemrichtlinie gewährt der ReadOnly IAM-Rolle nur ClientMount (schreibgeschützte) Berechtigungen. Ersetzen Sie durch Ihre 111122223333 Konto-ID AWS .

{
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:role/ReadOnly"
            },
            "Action": [
                "s3files:ClientMount"
            ]
        }
    ]
}

Beispiel: Gewähren Sie Zugriff auf einen S3-Dateien-Zugriffspunkt

Die folgende Dateisystemrichtlinie verwendet ein Bedingungselement, um einem bestimmten Access Point vollen Zugriff auf das Dateisystem zu gewähren, wenn das Mounten über den angegebenen Access Point erfolgt. Ersetzen Sie den ARN und die Konto-ID des Access Points durch Ihre Werte. Weitere Informationen finden Sie unter Access Points für ein S3-Dateisystem erstellen.

{
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::555555555555:role/S3FilesAccessPointFullAccess"
            },
            "Action": [
                "s3files:Client*"
            ],
            "Condition": {
                "StringEquals": {
                    "s3files:AccessPointArn": "arn:partition:s3files:region:account-id:file-system/fs-1234567890/access-point/fsap-0987654321"
                }
            }
        }
    ]
}

POSIX-Berechtigungen

Nach erfolgreicher IAM-Autorisierung erzwingt S3 Files standardmäßige POSIX (Unix-style) -Berechtigungen auf Datei- und Verzeichnisebene. POSIX-Berechtigungen steuern den Zugriff auf der Grundlage der Benutzer-ID (UID), der Gruppen-ID (GID) und der Berechtigungsbits (Lesen, Schreiben, Ausführen), die jeder Datei und jedem Verzeichnis zugeordnet sind. Access Points können eine bestimmte POSIX-Benutzeridentität für alle Anfragen erzwingen, was die Zugriffsverwaltung für gemeinsam genutzte Datensätze vereinfacht. Weitere Informationen finden Sie unter Access Points für ein S3-Dateisystem erstellen.

Sicherheitsgruppen

Sicherheitsgruppen agieren als Firewall auf Netzwerkebene, die den Verkehr zwischen Ihren Rechenressourcen und den Mount-Zielen des Dateisystems kontrolliert. Einzelheiten zur Konfiguration von Sicherheitsgruppen für die ersten Schritte mit S3-Dateien finden Sie unter. Sicherheitsgruppen