Création d’octrois

Une autorisation d'accès individuelle dans une instance S3 Access Grants permet à une identité spécifique (un AWS Identity and Access Management (IAM) principal, un utilisateur ou un groupe dans un annuaire d'entreprise d'accéder à un emplacement enregistré dans votre instance S3 Access Grants. Un lieu associe des compartiments ou des préfixes à un IAM rôle. S3 Access Grants assume ce IAM rôle pour vendre des informations d'identification temporaires aux bénéficiaires.

Après avoir enregistré au moins un emplacement dans votre instance S3 Access Grants, vous pouvez créer une autorisation d'accès.

Le bénéficiaire peut être un IAM utilisateur ou un rôle, un utilisateur ou un groupe d'annuaires. Un utilisateur d'annuaire est un utilisateur de votre annuaire d'entreprise ou d'une source d'identité externe que vous avez associé à votre instance S3 Access Grants. Pour de plus amples informations, veuillez consulter Octrois d’accès S3 et identités d’annuaire d’entreprise. Pour créer une subvention pour un utilisateur ou un groupe d'annuaire spécifique à partir IAM d'Identity Center, recherchez GUID celle qu'IAMIdentity Center utilise pour identifier cet utilisateur dans IAM Identity Center, par exemple,a1b2c3d4-5678-90ab-cdef-EXAMPLE11111. Pour plus d'informations sur l'utilisation d'IAMIdentity Center pour consulter les informations utilisateur, voir Afficher les attributions des utilisateurs et des groupes dans le guide de AWS IAM Identity Center l'utilisateur.

Vous pouvez accorder l'accès à un compartiment, à un préfixe ou à un objet. Dans Amazon S3, un préfixe est une chaîne de caractères située au début d’un nom de clé d’objet et qui sert à organiser les objets au sein d’un compartiment. Il peut s'agir de n'importe quelle chaîne de caractères autorisés, par exemple les noms de clé d'objet de votre compartiment commençant par le engineering/ préfixe.

Sous-préfixe

Lorsque vous accordez l'accès à un emplacement enregistré, vous pouvez utiliser le Subprefix champ pour réduire l'étendue de l'accès à un sous-ensemble de l'étendue du lieu. Si l'emplacement enregistré que vous choisissez pour l'autorisation est le chemin S3 par défaut (s3://), vous devez réduire la portée de l'autorisation. Vous ne pouvez pas créer d'autorisation d'accès pour l'emplacement par défaut (s3://), ce qui permettrait au bénéficiaire d'accéder à tous les compartiments d'un Région AWS. Vous devez plutôt réduire la portée de la subvention à l'une des options suivantes :

Si vous créez une autorisation d'accès où l'emplacement enregistré est un bucket, vous pouvez transmettre l'une des informations suivantes dans le Subprefix champ pour réduire la portée de l'autorisation :

Une fois que vous avez créé l'autorisation, l'étendue de la subvention qui s'affiche dans la console Amazon S3 ou GrantScope qui est renvoyée dans la réponse API ou AWS Command Line Interface (AWS CLI) est le résultat de la concaténation du chemin de localisation avec le. Subprefix Assurez-vous que ce chemin concaténé correspond bien au compartiment, au préfixe ou à l’objet S3 auquel vous souhaitez accorder l’accès.

Vous pouvez créer une autorisation d'accès en utilisant la console Amazon S3 AWS CLI, Amazon S3 REST API et AWS SDKs.

aws s3control create-access-grant \
--account-id 111122223333 \
--access-grants-location-id a1b2c3d4-5678-90ab-cdef-EXAMPLE22222 \
--access-grants-location-configuration S3SubPrefix=prefixB* \
--permission READ \
--grantee GranteeType=IAM,GranteeIdentifier=arn:aws:iam::123456789012:user/data-consumer-3

{"CreatedAt": "2023-05-31T18:41:34.663000+00:00",
    "AccessGrantId": "a1b2c3d4-5678-90ab-cdef-EXAMPLE11111",
    "AccessGrantArn": "arn:aws:s3:us-east-2:111122223333:access-grants/default/grant/a1b2c3d4-5678-90ab-cdef-EXAMPLE11111",
    "Grantee": {
        "GranteeType": "IAM",
        "GranteeIdentifier": "arn:aws:iam::111122223333:user/data-consumer-3"
    },
    "AccessGrantsLocationId": "a1b2c3d4-5678-90ab-cdef-EXAMPLE22222",
    "AccessGrantsLocationConfiguration": {
        "S3SubPrefix": "prefixB*"
    },
    "GrantScope": "s3://DOC-BUCKET-EXAMPLE/prefix*",
    "Permission": "READ"
}

aws identitystore list-users --identity-store-id d-1a2b3c4d1234 

aws identitystore list-groups --identity-store-id d-1a2b3c4d1234

aws s3control create-access-grant \
--account-id 123456789012 \
--access-grants-location-id default \
--access-grants-location-configuration S3SubPrefix="amzn-s3-demo-bucket/rafael/*" \
--permission READWRITE \
--grantee GranteeType=DIRECTORY_USER,GranteeIdentifier=83d43802-00b1-7054-db02-f1d683aacba5 \