Einrichtung von Amazon S3 Access Grants mit IAM Identity Center

• Aktivieren Sie IAM Identity Center. Eine Organisationsinstanz wird empfohlen. Weitere Informationen finden Sie unter Voraussetzungen und Überlegungen.

Wenn Sie bereits ein Amazon S3 haben Zugang zu Zuschüssen Gehen Sie bei einer Instanz mit einem registrierten Standort wie folgt vor:

1. Verknüpfen Sie Ihre IAM Identity Center-Instanz.

2. Erstellen Sie einen Zuschuss.

Wenn Sie kein Amazon S3 erstellt haben Zugriff auf Zuschüsse Folgen Sie jedoch diesen Schritten:

1. Erstellen Sie eine Access Grants S3-Instanz — Sie können pro Access Grants Instanz eine S3-Instanz erstellen AWS-Region. Wenn Sie die Access Grants S3-Instanz erstellen, achten Sie darauf, das Kästchen IAM Identity Center-Instanz hinzufügen zu aktivieren und den ARN Ihrer IAM Identity Center-Instanz anzugeben. Klicken Sie auf Weiter.

   Die folgende Abbildung zeigt die Seite „Access GrantsS3-Instance erstellen“ in der Amazon Access Grants S3-Konsole:

   

2. Standort registrieren — Nachdem Sie eine Amazon Access Grants S3-Instance AWS-Region in Ihrem Konto erstellt und erstellt haben, registrieren Sie einen S3-Standort in dieser Instance. Ein Access Grants S3-Standort ordnet einer IAM-Rolle die Standard-S3-Region (S3://), einen Bucket oder ein Präfix zu. S3 Access Grants übernimmt diese Amazon S3-Rolle, um temporäre Anmeldeinformationen an den Empfänger weiterzugeben, der auf diesen bestimmten Standort zugreift. Sie müssen zuerst mindestens einen Standort in Ihrer Access Grants S3-Instance registrieren, bevor Sie eine Zugriffsgewährung einrichten können.

   Geben Sie für den Geltungsbereich Standort an s3://, welcher alle Ihre Buckets in dieser Region umfasst. Dies ist der empfohlene Standortbereich für die meisten Anwendungsfälle. Wenn Sie einen erweiterten Anwendungsfall für Zugriffsmanagement haben, können Sie den Standortbereich auf einen bestimmten Bucket s3://bucket oder ein bestimmtes Präfix innerhalb eines Buckets festlegens3://bucket/prefix-with-path. Weitere Informationen finden Sie unter Standort registrieren im Amazon Simple Storage Service-Benutzerhandbuch.

   Anmerkung

   Stellen Sie sicher, dass die S3-Speicherorte der AWS Glue Tabellen, auf die Sie Zugriff gewähren möchten, in diesem Pfad enthalten sind.

   Für das Verfahren müssen Sie eine IAM-Rolle für den Standort konfigurieren. Diese Rolle sollte Berechtigungen für den Zugriff auf den Standortbereich enthalten. Sie können den S3-Konsolenassistenten verwenden, um die Rolle zu erstellen. Sie müssen Ihren Access Grants S3-Instance-ARN in den Richtlinien für diese IAM-Rolle angeben. Der Standardwert Ihres Access Grants S3-Instance-ARN istarn:aws:s3:Your-Region:Your-AWS-Account-ID:access-grants/default.

   Das folgende Beispiel für eine Berechtigungsrichtlinie erteilt Amazon S3-Berechtigungen für die IAM-Rolle, die Sie erstellt haben. Und das folgende Beispiel für eine Vertrauensrichtlinie ermöglicht es dem Access Grants S3-Serviceprinzipal, die IAM-Rolle zu übernehmen.

   1. Berechtigungsrichtlinie

      Um diese Richtlinien zu verwenden, ersetzen Sie die Richtlinie italicized placeholder text im Beispiel durch Ihre eigenen Informationen. Weitere Anweisungen finden Sie unter Richtlinie erstellen oder Richtlinie bearbeiten.

      JSON

      {
          "Version":"2012-10-17",
          "Statement": [
              {
                  "Sid": "ObjectLevelReadPermissions",
                  "Effect": "Allow",
                  "Action": [
                      "s3:GetObject",
                      "s3:GetObjectVersion",
                      "s3:GetObjectAcl",
                      "s3:GetObjectVersionAcl",
                      "s3:ListMultipartUploadParts"
                  ],
                  "Resource": [
                      "arn:aws:s3:::*"
                  ],
                  "Condition": {
                      "StringEquals": {
                          "aws:ResourceAccount": "111122223333"
                      },
                      "ArnEquals": {
                          "s3:AccessGrantsInstanceArn": [
                          "arn:aws:s3:::access-grants/instance-id"
                          ]
                      }
                  }
              },
              {
                  "Sid": "ObjectLevelWritePermissions",
                  "Effect": "Allow",
                  "Action": [
                      "s3:PutObject",
                      "s3:PutObjectAcl",
                      "s3:PutObjectVersionAcl",
                      "s3:DeleteObject",
                      "s3:DeleteObjectVersion",
                      "s3:AbortMultipartUpload"
                  ],
                  "Resource": [
                      "arn:aws:s3:::*"
                  ],
                  "Condition": {
                      "StringEquals": {
                      "aws:ResourceAccount": "111122223333"
                      },
                      "ArnEquals": {
                          "s3:AccessGrantsInstanceArn": [
                          "arn:aws:s3:::access-grants/instance-id"
                          ]
                      }
                  }
              },
              {
                  "Sid": "BucketLevelReadPermissions",
                  "Effect": "Allow",
                  "Action": [
                      "s3:ListBucket"
                  ],
                  "Resource": [
                      "arn:aws:s3:::*"
                  ],
                  "Condition": {
                      "StringEquals": {
                      "aws:ResourceAccount": "111122223333"
                      },
                      "ArnEquals": {
                          "s3:AccessGrantsInstanceArn": [
                          "arn:aws:s3:::access-grants/instance-id"
                          ]
                      }
                  }
              },
              {
                  "Sid": "OptionalKMSPermissionsForSSEEncryption",
                  "Effect": "Allow",
                  "Action": [
                      "kms:Decrypt",
                      "kms:GenerateDataKey"
                  ],
                  "Resource": [
                      "*"
                  ]
              }
          ]
      }
      

   2. Vertrauensrichtlinie

      Gewähren Sie in der Vertrauensrichtlinie für IAM-Rollen dem S3-Access-Grants-Service (access-grants.s3.amazonaws.com)-Prinzipal Zugriff auf die IAM-Rolle, die Sie erstellt haben. Hierzu können Sie eine JSON-Datei mit den folgenden Anweisungen erstellen. Informationen zum Hinzufügen der Vertrauensrichtlinie zu Ihrem Konto finden Sie unter Erstellen einer Rolle mit benutzerdefinierten Vertrauensrichtlinien.

      JSON

      {
          "Version":"2012-10-17",
          "Statement": [
              {
                  "Sid": "Stmt1234567891011",
                  "Effect": "Allow",
                  "Action": [
                      "sts:AssumeRole",
                      "sts:SetSourceIdentity"
                  ],
                  "Resource": "*",
                  "Condition": {
                      "StringEquals": {
                          "aws:SourceAccount": "111122223333",
                          "aws:SourceArn": "Your-Custom-Access-Grants-Location-ARN"
                      }
                  }
              },
      
              {
                  "Sid": "Stmt1234567891012",
                  "Effect": "Allow",
                  "Action": "sts:SetContext",
                  "Resource": "*",
                  "Condition": {
                      "StringEquals": {
                          "aws:SourceAccount": "111122223333",
                          "aws:SourceArn": "Your-Custom-Access-Grants-Location-ARN"
                      },
                      "ForAllValues:ArnEquals": {
                          "sts:RequestContextProviders": "arn:aws:iam::aws:contextProvider/IdentityCenter"
                      }
                  }
              }
          ]
      }
      

Erstellen einer Erteilung

1. Wählen Sie den im vorherigen Schritt erstellten Standort aus. Sie können den Umfang des Zuschusses reduzieren, indem Sie ein Unterpräfix hinzufügen. Das Unterpräfix kann einbucket,bucket/prefix, oder ein Objekt im Bucket sein. Weitere Informationen finden Sie unter Subprefix im Amazon Simple Storage Service-Benutzerhandbuch.

2. Wählen Sie unter Berechtigungen und Zugriff je nach Bedarf Lesen und/oder Schreiben aus.

3. Wählen Sie unter Granter-Typ die Option Verzeichnisidentität aus IAM Identity Center aus.

4. Geben Sie die IAM Identity Center-Benutzer- oder Gruppen-ID an. Sie finden die Benutzer- und Gruppen-IDs in der IAM Identity Center-Konsole in den Abschnitten Benutzer und Gruppe. Klicken Sie auf Weiter.

5. Überprüfen Sie auf der Seite „Überprüfen und beenden“ die Einstellungen für S3 Access Grant und wählen Sie dann Create Grant aus.

   Die folgende Abbildung zeigt die Seite „Grant erstellen“ in der Amazon Access Grants S3-Konsole: