Autenticación y autorización de solicitudes

De forma predeterminada, los buckets de directorio son privados y solo pueden acceder a ellos los usuarios a los que se concede explícitamente el acceso. El límite de control de acceso para buckets de directorio se establece únicamente en el nivel de bucket. Por el contrario, el límite de control de acceso para los buckets de uso general se puede establecer en el nivel de bucket, prefijo o etiqueta de objeto. Esta diferencia significa que los buckets de directorio son el único recurso que puede incluir en las políticas de bucket o en las políticas de identidad de IAM para el acceso a S3 Express One Zone.

Amazon S3 Express One Zone admite tanto la autorización de AWS Identity and Access Management (IAM de AWS) como la autorización basada en sesiones:

Con la operación de la API CreateSession, autentica y autoriza las solicitudes mediante un nuevo mecanismo basado en sesiones. Puede utilizar CreateSession para solicitar credenciales temporales que otorgan acceso de baja latencia a su bucket. Estas credenciales temporales se asignan a un bucket de directorio específico.

Para trabajar con CreateSession, le recomendamos que utilice la última versión de los SDK de AWS o que utilice la AWS Command Line Interface (AWS CLI). Los SDK de AWS compatibles con AWS CLI controlan el establecimiento, la actualización y la finalización de la sesión en su nombre.

Utiliza tokens de sesión únicamente con operaciones zonales (de nivel de objeto) (excepto para CopyObject yHeadBucket) para distribuir la latencia asociada a la autorización entre varias solicitudes de una sesión. Para las operaciones de la API de puntos de conexión regionales (operaciones de nivel de bucket), se utiliza la autorización de IAM, que no implica la administración de una sesión. Para obtener más información, consulte Autorización de API de puntos de conexión regionales con IAM y Autorización de operaciones de la API de puntos de conexión zonales con CreateSession.

Autenticación y autorización de las operaciones de la API

En la siguiente tabla se muestra la información de autenticación y autorización para las operaciones de la API de bucket de directorio. Para cada operación de la API, la tabla muestra el nombre de la operación de la API, la acción de política de IAM, el tipo de punto de conexión (regional o zonal) y el mecanismo de autorización (de IAM o basado en sesiones). En esta tabla también se indica si se admite el acceso entre cuentas. El acceso a las acciones en el nivel de bucket solo se puede conceder en las políticas basadas en identidad de IAM (usuario o rol), no en las políticas de bucket.