Ejemplo 3: propietario del bucket que concede a sus usuarios permisos para objetos que no posee

1. Asegúrese de tener dos Cuentas de AWS y que cada cuenta tenga un administrador, como se muestra en la tabla de la sección anterior.

   1. Si lo necesita, regístrese para obtener una Cuenta de AWS.

   2. Con las credenciales de la cuenta A, inicie sesión en la consola de IAM y haga lo siguiente para crear un usuario administrador:

      • Cree al usuario AccountAadmin y tenga en cuenta las credenciales de seguridad del mismo. Para obtener más información sobre cómo agregar usuarios, consulte Creación de un usuario de IAM en su Cuenta de AWS en la Guía del usuario de IAM.

      • Conceda permisos de administrador a AccountAadmin al asociar una política de usuario que conceda acceso completo. Para obtener instrucciones, consulte Administración de políticas de IAM en la Guía del usuario de IAM.

      • En el panel de la consola de IAM, tenga en cuenta la URL de inicio de sesión de usuario de IAM. Los usuarios de esta cuenta deben usar esta dirección URL para iniciar sesión en la AWS Management Console. Para obtener más información, consulte Cómo los usuarios inician sesión en la cuenta en la Guía del usuario de IAM.

   3. Repita el paso anterior con las credenciales de la cuenta B y cree el usuario administrador AccountBadmin.

2. Configure AWS CLI o Tools for Windows PowerShell. Asegúrese de guardar las credenciales de administrador de la siguiente manera:

   • Si está usando la AWS CLI, cree dos perfiles, AccountAadmin y AccountBadmin, en el archivo de configuración.

   • Si utiliza Tools for Windows PowerShell, asegúrese de almacenar las credenciales de la sesión como AccountAadmin y AccountBadmin.

   Para obtener instrucciones, consulte Configuración de las herramientas para los tutoriales.

1. En la consola de Amazon S3, cree un bucket. En este ejercicio se supone que el bucket se crea en la Región de AWS Este de EE. UU. (Norte de Virginia) y el nombre es amzn-s3-demo-bucket1.

   Para obtener instrucciones, consulte Crear un bucket.

2. En la Consola de IAM, cree un usuario, Dave.

   Para obtener instrucciones paso a paso, consulte Creación de usuarios de IAM (consola) en la Guía del usuario de IAM.

3. Tenga en cuenta las credenciales del usuario Dave.

4. En la consola de Amazon S3, adjunte la siguiente política de bucket al bucket amzn-s3-demo-bucket1. Para obtener instrucciones, consulte Agregar una política de bucket mediante la consola de Amazon S3. Siga los pasos para añadir una política de bucket. Para obtener información acerca de cómo buscar ID de cuenta, consulte Búsqueda de su ID de Cuenta de AWS.

   La política le concede a la cuenta B permisos para s3:PutObject y s3:ListBucket. La política también le concede al usuario Dave el permiso s3:GetObject.

   {
      "Version": "2012-10-17",
      "Statement": [
         {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Principal": {
               "AWS": "arn:aws:iam::AccountB-ID:root"
            },
            "Action": [
               "s3:PutObject",
               "s3:ListBucket"
            ],
            "Resource": [
               "arn:aws:s3:::amzn-s3-demo-bucket1/*",
               "arn:aws:s3:::amzn-s3-demo-bucket1"
            ]
         },
         {
            "Sid": "Statement3",
            "Effect": "Allow",
            "Principal": {
               "AWS": "arn:aws:iam::AccountA-ID:user/Dave"
            },
            "Action": [
               "s3:GetObject"
            ],
            "Resource": [
               "arn:aws:s3:::amzn-s3-demo-bucket1/*"
            ]
         }  
      ]
   }

Uso de la AWS CLI

1. Mediante el uso del comando put-object de la AWS CLI, cargue un objeto. El parámetro --body en el comando identifica el archivo de origen para cargar. Por ejemplo, si el archivo está en la unidad C: de un equipo Windows, debe especificar c:\HappyFace.jpg. El parámetro --key brinda el nombre de clave para el objeto.

   aws s3api put-object --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg --body HappyFace.jpg --profile AccountBadmin

2. Añada un permiso a la ACL de objetos para concederle al propietario del bucket el control total del objeto. Para obtener información acerca de cómo encontrar un ID de usuario canónico, consulte Buscar el ID de usuario canónico de su Cuenta de AWS en la Guía de referencia de la Administración de cuentas de AWS.

   aws s3api put-object-acl --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg --grant-full-control id="AccountA-CanonicalUserID" --profile AccountBadmin

Uso de Tools for Windows PowerShell

1. Mediante el uso del comando Write-S3Object, cargue un objeto.

   Write-S3Object -BucketName amzn-s3-demo-bucket1 -key HappyFace.jpg -file HappyFace.jpg -StoredCredentials AccountBadmin

2. Añada un permiso a la ACL de objetos para concederle al propietario del bucket el control total del objeto.

   Set-S3ACL -BucketName amzn-s3-demo-bucket1 -Key HappyFace.jpg -CannedACLName "bucket-owner-full-control" -StoredCreden

Uso de la AWS CLI

1. Agregue las credenciales del usuario Dave al archivo de configuración de la AWS CLI y cree un nuevo perfil, UserDaveAccountA. Para obtener más información, consulte Configuración de las herramientas para los tutoriales.

   [profile UserDaveAccountA]
   aws_access_key_id = access-key
   aws_secret_access_key = secret-access-key
   region = us-east-1

2. Ejecute el comando get-object CLI para descargarlo HappyFace.jpg y guardarlo localmente. Para proporcionar las credenciales del usuario Dave, debe añadir el parámetro --profile.

   aws s3api get-object --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg Outputfile.jpg --profile UserDaveAccountA

Uso de Tools for Windows PowerShell

1. Almacene las credenciales del usuario Dave de AWS, como UserDaveAccountA, en el almacén persistente.

   Set-AWSCredentials -AccessKey UserDave-AccessKey -SecretKey UserDave-SecretAccessKey -storeas UserDaveAccountA

2. Ejecute el Read-S3Object comando para descargar el HappyFace.jpg objeto y guárdelo localmente. Para proporcionar las credenciales del usuario Dave, debe añadir el parámetro -StoredCredentials.

   Read-S3Object -BucketName amzn-s3-demo-bucket1 -Key HappyFace.jpg -file HappyFace.jpg  -StoredCredentials UserDaveAccountA

1. Después de que haya terminado de probar, puede realizar lo siguiente para limpiar:

   1. Inicie sesión en la AWS Management Console con las credenciales de la cuenta A y haga lo siguiente:

      • En la consola de Amazon S3, elimine la política de bucket asociada a amzn-s3-demo-bucket1. En Propiedades del bucket, elimine la política en la sección Permisos.

      • Si se creó el bucket para este ejercicio, en la consola de Amazon S3, elimine los objetos y luego elimine el bucket.

      • En la consola de IAM, quite el usuario AccountAadmin. Para obtener instrucciones paso a paso, consulte Eliminación de un usuario de IAM en la Guía del usuario de IAM.

2. Inicie sesión en la AWS Management Console con las credenciales de la cuenta B. En la consola de IAM, elimine el usuario AccountBadmin.