Ejemplo 1: propietario del bucket que concede permisos de bucket a sus usuarios

1. Asegúrese de tener una Cuenta de AWS que cuente con un usuario con privilegios de administrador.

   1. Si lo necesita, regístrese para obtener una Cuenta de AWS. Nos referiremos a esta cuenta como Cuenta A.

      1. Vaya a https://aws.amazon.com/s3 y elija Crear una cuenta de AWS.

      2. Siga las instrucciones en pantalla.

         AWSCuando la cuenta esté activada y lista para usar, lo notificará por email.

   2. En la Cuenta A, cree un usuario administrador AccountAadmin. Con las credenciales de la Cuenta A, inicie sesión en la consola de IAM y realice los siguientes pasos:

      1. Cree al usuario AccountAadmin y tenga en cuenta las credenciales de seguridad del mismo.

         Para obtener instrucciones, consulte Creación de un usuario de IAM en la Cuenta de AWS en la Guía del usuario de IAM.

      2. Conceda privilegios de administrador a AccountAadmin adjuntando una política de usuario que le conceda acceso total.

         Para obtener instrucciones, consulte Administración de políticas de IAM en la Guía del usuario de IAM.

      3. Tenga en cuenta la URL de inicio de sesión de usuario de IAM para AccountAadmin. Tendrá que usar esta dirección URL al iniciar sesión en la AWS Management Console. Para obtener más información sobre dónde encontrar la URL de inicio de sesión, consulte Iniciar sesión en la AWS Management Console como usuario de IAM en la Guía del usuario de IAM. Tenga en cuenta la URL de cada una de las cuentas.

2. Configure AWS CLI o AWS Tools for Windows PowerShell. Asegúrese de guardar las credenciales del usuario administrador de la siguiente manera:

   • Si utiliza la AWS CLI, cree un perfil, AccountAadmin, en el archivo de configuración.

   • Si usa AWS Tools for Windows PowerShell, asegúrese de almacenar las credenciales para la sesión como AccountAadmin.

   Para obtener instrucciones, consulte Configuración de las herramientas para los tutoriales.

1. Creación de recursos de un bucket y un usuario de IAM

   1. En la consola de Amazon S3, cree un bucket. Tenga en cuenta la Región de AWS en la que creó el bucket. Para obtener instrucciones, consulte Crear un bucket.

   2. En la consola de IAM, haga lo siguiente:

      1. Cree un usuario llamado Dave.

         Para obtener instrucciones paso a paso, consulte Creación de usuarios de IAM (consola) en la Guía del usuario de IAM.

      2. Tenga en cuenta las credenciales de UserDave.

      3. Tenga en cuenta el nombre de recurso de Amazon (ARN) para el usuario Dave. En la consola de IAM, seleccione el usuario y en la pestaña Resumen podrá ver el ARN del usuario.

2. Concesión de permisos.

   Dado que la cuenta propietaria del bucket y la cuenta principal a la que pertenece el usuario coinciden, la Cuenta de AWS puede conceder permisos al usuario mediante una política de bucket, una política de usuario o ambas. En este ejemplo, usará ambas. Si el objeto también es propiedad de la misma cuenta, el propietario del bucket puede conceder permisos de objeto en la política del bucket (o una política de IAM).

   1. En la consola de Amazon S3, asocie la siguiente política de bucket a awsexamplebucket1.

      La política tiene dos instrucciones:

      • En la primera instrucción se conceden a Dave los permisos de operación en el bucket s3:GetBucketLocation y s3:ListBucket.

      • En la segunda instrucción se concede el permiso s3:GetObject. Dado que la Cuenta A también es propietaria del objeto, el administrador de la cuenta puede conceder el permiso s3:GetObject.

      En la instrucción Principal, el ARN del usuario es lo que identifica a Dave. Para obtener más información sobre los elementos de las políticas, consulte Políticas y permisos en Amazon S3.

      {
         "Version": "2012-10-17",
         "Statement": [
            {
               "Sid": "statement1",
               "Effect": "Allow",
               "Principal": {
                  "AWS": "arn:aws:iam::AccountA-ID:user/Dave"
               },
               "Action": [
                  "s3:GetBucketLocation",
                  "s3:ListBucket"
               ],
               "Resource": [
                  "arn:aws:s3:::awsexamplebucket1"
               ]
            },
            {
               "Sid": "statement2",
               "Effect": "Allow",
               "Principal": {
                  "AWS": "arn:aws:iam::AccountA-ID:user/Dave"
               },
               "Action": [
                   "s3:GetObject"
               ],
               "Resource": [
                  "arn:aws:s3:::awsexamplebucket1/*"
               ]
            }
         ]
      }

   2. Cree una política en línea para el usuario Dave utilizando la siguiente política. La política concede a Dave el permiso s3:PutObject. Tendrá que actualizar la política proporcionando el nombre del bucket.

      {
         "Version": "2012-10-17",
         "Statement": [
            {
               "Sid": "PermissionForObjectOperations",
               "Effect": "Allow",
               "Action": [
                  "s3:PutObject"
               ],
               "Resource": [
                  "arn:aws:s3:::awsexamplebucket1/*"
               ]
            }
         ]
      }

      Para obtener instrucciones, consulte Administración de políticas de IAM en la Guía del usuario de IAM. Tenga en cuenta que tendrá que iniciar sesión en la consola con las credenciales de la Cuenta A.

Prueba de los permisos mediante la AWS CLI

1. Actualice el archivo de configuración de la AWS CLI agregando el perfil de UserDaveAccountA siguiente. Para obtener más información, consulte Configuración de las herramientas para los tutoriales.

   [profile UserDaveAccountA]
   aws_access_key_id = access-key
   aws_secret_access_key = secret-access-key
   region = us-east-1

2. Compruebe que Dave pueda realizar las operaciones según los permisos concedidos en la política de usuario. Cargue un objeto de muestra con el comando de la AWS CLI put-object.

   El parámetro --body en el comando identifica el archivo de origen para cargar. Por ejemplo, si el archivo está en el directorio raíz del disco C: en un equipo Windows, debe especificar c:\HappyFace.jpg. El parámetro --key brinda el nombre de clave para el objeto.

   aws s3api put-object --bucket awsexamplebucket1 --key HappyFace.jpg --body HappyFace.jpg --profile UserDaveAccountA

   Ejecute el siguiente comando de la AWS CLI para obtener el objeto.

   aws s3api get-object --bucket awsexamplebucket1 --key HappyFace.jpg OutputFile.jpg --profile UserDaveAccountA

Prueba de los permisos mediante la AWS Tools for Windows PowerShell

1. Almacene las credenciales de Dave como AccountADave. A continuación, use estas credenciales para PUT y GET un objeto.

   set-awscredentials -AccessKey AccessKeyID -SecretKey SecretAccessKey -storeas AccountADave

2. Cargue un objeto de muestra con el comando Write-S3Object de AWS Tools for Windows PowerShell con las credenciales almacenadas de Dave.

   Write-S3Object -bucketname awsexamplebucket1 -key HappyFace.jpg -file HappyFace.jpg -StoredCredentials AccountADave

   Descargue el objeto que cargó en el paso anterior.

   Read-S3Object -bucketname awsexamplebucket1 -key HappyFace.jpg -file Output.jpg -StoredCredentials AccountADave