Configuración de Navegador de almacenamiento para S3

Para conectar a los usuarios finales con las ubicaciones de Amazon S3, primero debe configurar un método de autenticación y autorización. Existen tres métodos para configurar un método de autenticación y autorización con Navegador de almacenamiento:

Método 1: administración del acceso a los datos para los clientes y los socios externos

Con este método, puede utilizar AWS Amplify Auth para administrar el control de acceso y la seguridad de los archivos. Este método es ideal cuando desea conectar a los clientes o socios externos con datos en S3. Con esta opción, los clientes pueden autenticarse mediante proveedores de identidades sociales o empresariales.

Usted proporciona credenciales de IAM a los usuarios finales y socios externos mediante AWS Amplify Auth con un bucket de S3 configurado para utilizar Amplify Storage. AWS Amplify Auth se basa en Amazon Cognito, un servicio de administración de acceso e identidad del cliente totalmente administrado donde puede autenticar y autorizar a los usuarios desde un directorio de usuarios o un directorio empresarial integrado, o desde proveedores de identidades de consumidores. El modelo de autorización de Amplify define a qué prefijos puede acceder el usuario autenticado actual. Para obtener más información sobre cómo configurar la autorización para AWS Amplify, consulte Configuración del almacenamiento.

Para inicializar el componente con los métodos de autenticación y almacenamiento de Amplify, agregue el siguiente fragmento de código a la aplicación web:

import {
  createAmplifyAuthAdapter,
  createStorageBrowser,
} from '@aws-amplify/ui-react-storage/browser';
import "@aws-amplify/ui-react-storage/styles.css";

import config from './amplify_outputs.json';

Amplify.configure(config);

export const { StorageBrowser } = createStorageBrowser({
  config: createAmplifyAuthAdapter(),
});

Método 2: administración del acceso a los datos para las entidades principales de IAM para la cuenta de AWS

Si desea administrar el acceso para las entidades principales de IAM o la Cuenta de AWS directamente, puede crear un rol de IAM que tenga permisos para invocar la operación de la API de S3 GetDataAccess. Para configurarlo, debe crear una instancia de Concesiones de acceso a S3 para asignar permisos para los buckets de S3 y prefijos a las identidades de IAM especificadas. El componente Navegador de almacenamiento (que debe llamarse en el cliente después de obtener las credenciales de IAM) invocará la operación de la API de S3 ListCallerAccessGrants a fin de obtener las concesiones disponibles para el solicitante de identidad y rellenar las ubicaciones en el componente. Después de obtener el permiso s3:GetDataAccess, el componente Navegador de almacenamiento utiliza esas credenciales para solicitar acceso a los datos de S3.

import {
  createManagedAuthAdapter,
  createStorageBrowser,
} from '@aws-amplify/ui-react-storage/browser';
import "@aws-amplify/ui-react-storage/styles.css";

export const { StorageBrowser } = createStorageBrowser({
  config: createManagedAuthAdapter({
    credentialsProvider: async (options?: { forceRefresh?: boolean }) => {
      // return your credentials object
      return {
        credentials: {
          accessKeyId: 'my-access-key-id',
          secretAccessKey: 'my-secret-access-key',
          sessionToken: 'my-session-token',
          expiration: new Date()
        },
      }
    },
    // AWS `region` and `accountId`
    region: '',
    accountId: '',
    // call `onAuthStateChange` when end user auth state changes 
    // to clear sensitive data from the `StorageBrowser` state
    registerAuthListener: (onAuthStateChange) => {},
  })
});

Método 3: administración del acceso a los datos a escala

Si desea asociar una instancia de Concesiones de acceso a S3 a IAM Identity Center para obtener una solución más escalable (como proporcionar acceso a los datos a toda la empresa), puede solicitar datos de Amazon S3 en nombre del usuario autenticado actual. Por ejemplo, puede conceder a grupos de usuarios del directorio corporativo acceso a los datos en S3. Este enfoque le permite administrar de forma centralizada los permisos de Concesiones de acceso a S3 para los usuarios y grupos, incluidos los alojados en proveedores externos como Microsoft Entra, Okta y otros.

Al utilizar este método, la integración con IAM Identity Center le permite utilizar los directorios de usuarios existentes. Otra ventaja de la propagación de identidades de confianza de IAM Identity Center es que cada evento de datos de AWS CloudTrail para Amazon S3 contiene una referencia directa a la identidad del usuario final que ha accedido a los datos de S3.

Si tiene una aplicación que admite OAuth 2.0 y los usuarios necesitan acceder desde estas aplicaciones a servicios de AWS, le recomendamos que utilice la propagación de identidades de confianza. Con la propagación de identidades de confianza, un usuario puede iniciar sesión en una aplicación y esa aplicación puede transmitir la identidad del usuario en las solicitudes de acceso a los datos de los servicios de AWS. Esta aplicación interactúa con IAM Identity Center en nombre de cualquier usuario autenticado. Para obtener más información, consulte Uso de la propagación de identidades de confianza con aplicaciones administradas por el cliente.

Configuración

Para configurar la autenticación de Navegador de almacenamiento en la AWS Management Console con Concesiones de acceso a S3 y la propagación de identidades de confianza de IAM Identity Center, las aplicaciones deben solicitar datos de Amazon S3 en nombre del usuario autenticado actual. Con este enfoque, puede dar a usuarios o grupos de usuarios del directorio corporativo acceso directo a los buckets, prefijos u objetos de S3. Esto significa que la aplicación no necesitará asignar ningún usuario a una entidad principal de IAM.

En el siguiente flujo de trabajo se describen los pasos para configurar Navegador de almacenamiento para S3, mediante IAM Identity Center y Concesiones de acceso a S3:

Activación de IAM Identity Center para AWS Organizations

Para habilitar IAM Identity Center para AWS Organizations, realice los siguientes pasos:

AWS Organizations envía automáticamente un correo electrónico de verificación a la dirección asociada a su cuenta de administración. Puede pasar algún tiempo hasta que reciba el correo electrónico de verificación. Asegúrese de verificar la dirección de correo electrónico en un plazo de 24 horas, antes de que caduque el correo electrónico de verificación.

Configuración de la federación de AWS Identity and Access Management Identity Center

Para utilizar Navegador de almacenamiento para S3 con usuarios del directorio corporativo, debe configurar IAM Identity Center para utilizar un proveedor de identidades (IdP) externo. Puede utilizar el proveedor de identidades preferido que desee. No obstante, tenga en cuenta que cada proveedor de identidades utiliza una configuración diferente. Para ver tutoriales sobre el uso de diferentes proveedores de identidades externos, consulte los tutoriales de origen de IAM Identity Center.

Agregar un emisor de tokens de confianza en la consola de AWS Identity and Access Management Identity Center

El emisor de tokens de confianza representa al proveedor de identidades externo en AWS Identity and Access Management Identity Center y reconoce los tokens de los usuarios autenticados de la aplicación. El propietario de la cuenta de la instancia de IAM Identity Center en AWS Organizations debe realizar estos pasos. Estos pasos se pueden realizar en la consola de IAM Identity Center o mediante programación.

Para agregar un emisor de tokens de confianza en la consola de AWS Identity and Access Management Identity Center, siga estos pasos:

Creación de un rol de IAM para la aplicación bootstrap y identity bearer

Para garantizar que los usuarios de la aplicación bootstrap y identity bearer puedan trabajar correctamente entre sí, asegúrese de crear dos roles de IAM. Se requiere un rol de IAM para la aplicación bootstrap y el otro rol de IAM debe utilizarse para el portador de identidad o los usuarios finales que acceden a la aplicación web que solicita acceso a través de Concesiones de acceso a S3. La aplicación bootstrap recibe el token emitido por el proveedor de identidades e invoca la API CreateTokenWithIAM, con lo que se intercambia este token con el emitido por Identity Center.

Cree un rol de IAM, como bootstrap-role, con permisos como los siguientes. La siguiente política de IAM de ejemplo otorga permisos a bootstrap-role para realizar el intercambio de tokens:

{
    "Version": "2012-10-17",
    "Statement": [{
        "Action": [
            "sso-oauth:CreateTokenWithIAM",
        ],
        "Resource": "arn:${Partition}:sso::${AccountId}:application/${InstanceId}/${ApplicationId}",
        "Effect": "Allow"
    },
    {
        "Action": [
            "sts:AssumeRole",
            "sts:SetContext"
        ],
        "Resource": "arn:aws:iam::${AccountId}:role/identity-bearer-role",
        "Effect": "Allow"
    }]
}

A continuación, cree un segundo rol de IAM (como identity-bearer-role), que el agente de identidades utiliza para generar las credenciales de IAM. Las credenciales de IAM devueltas por el agente de identidad a la aplicación web las utiliza el componente Navegador de almacenamiento para S3 para permitir el acceso a los datos de S3:

{
    "Action": [
        "s3:GetDataAccess",
        "s3:ListCallerAccessGrants",
    ],
    "Resource": "arn:${Partition}:s3:${Region}:${Account}:access-grants/default",
    "Effect": "Allow"
} 

Este rol de IAM (identity-bearer-role) debe utilizar una política de confianza con la siguiente instrucción:

{
   "Effect": "Allow",
   "Principal": {
      "AWS": "arn:${Partition}:iam::${Account}:role/${RoleNameWithPath}"
   },
   "Action": [
       "sts:AssumeRole",
       "sts:SetContext"
   ]
}

Creación y configuración de la aplicación en IAM Identity Center

Para crear y configurar una aplicación administrada por el cliente en AWS IAM Identity Center, siga estos pasos:

Después de configurar las aplicaciones, los usuarios pueden acceder a ellas desde el portal de acceso a AWS en función de los conjuntos de permisos que haya creado y el acceso de usuario que haya asignado.

Cómo agregar Concesiones de acceso a S3 como aplicación de confianza para la propagación de identidades

Después de configurar la aplicación administrada por el cliente, debe especificar Concesiones de acceso a S3 para la propagación de identidades. Concesiones de acceso a S3 ofrece credenciales para que los usuarios accedan a los datos de Amazon S3. Cuando inicie sesión en la aplicación administrada por el cliente, Concesiones de acceso a S3 transferirá la identidad de los usuarios a la aplicación de confianza.

Requisito previo: asegúrese de haber configurado Concesiones de acceso a S3 (como crear una instancia de Concesiones de acceso a S3 y registrar una ubicación) antes de seguir estos pasos. Para obtener más información, consulte Introducción a Concesiones de acceso a S3.

Para agregar Concesiones de acceso a S3 para la propagación de identidades a la aplicación administrada por el cliente, realice los siguientes pasos:

Creación de una concesión a un usuario o grupo

En este paso, utiliza IAM Identity Center para aprovisionar a los usuarios. Puede utilizar SCIM para el aprovisionamiento automático o manual de usuarios y grupos. El SCIM mantiene las identidades de IAM Identity Center sincronizadas con las identidades del proveedor de identidades (IdP). Esto incluye cualquier aprovisionamiento, actualización y desaprovisionamiento de usuarios entre su IdP y IAM Identity Center.

Para sincronizar los usuarios del proveedor de identidades con IAM Identity Center, siga estos pasos:

Para ver ejemplos de cómo configurar el proveedor de identidades con IAM Identity Center para un caso de uso específico, consulte los tutoriales de origen de identidad de IAM Identity Center.

Creación del componente Navegador de almacenamiento para S3

Después de configurar la instancia de IAM Identity Center y crear concesiones en Concesiones de acceso a S3, abra la aplicación React. En la aplicación React, utilice createManagedAuthAdapter para configurar las reglas de autorización. Debe proporcionar un proveedor de credenciales para devolver las credenciales que obtuvo de IAM Identity Center. A continuación, puede llamar a createStorageBrowser para inicializar el componente Navegador de almacenamiento para S3:

import {
    createManagedAuthAdapter,
    createStorageBrowser,
} from '@aws-amplify/ui-react-storage/browser';
import '@aws-amplify/ui-react-storage/styles.css';

export const { StorageBrowser } = createStorageBrowser({
   config: createManagedAuthAdapter({
    credentialsProvider: async (options?: { forceRefresh?: boolean }) => {
      // return your credentials object
      return {
        credentials: {
          accessKeyId: 'my-access-key-id',
          secretAccessKey: 'my-secret-access-key',
          sessionToken: 'my-session-token',
          expiration: new Date(),
        },
      }
    },
    // AWS `region` and `accountId` of the S3 Access Grants Instance.
    region: '',
    accountId: '',
    // call `onAuthStateChange` when end user auth state changes 
    // to clear sensitive data from the `StorageBrowser` state
    registerAuthListener: (onAuthStateChange) => {},
  })
});

Después, cree un mecanismo para intercambiar los tokens web JSON (JWT) de la aplicación web con las credenciales de IAM de IAM Identity Center. Para obtener más información sobre cómo intercambiar JWT, consulte los siguientes recursos:

A continuación, configure un punto de conexión de API para procesar las solicitudes de obtención de credenciales. Para validar el intercambio de tokens web JSON (JWT), realice los siguientes pasos:

Para intercambiar el token web JSON del proveedor de identidades con las credenciales de AWS IAM, realice los siguientes pasos: