Création d’octrois

Une autorisation d'accès individuelle dans une instance S3 Access Grants permet à une identité spécifique (un principal AWS Identity and Access Management (IAM), un utilisateur ou un groupe dans un annuaire d'entreprise d'accéder à un emplacement enregistré dans votre instance S3 Access Grants. Un emplacement associe des compartiments ou des préfixes à un rôle IAM. Les autorisations d’accès S3 endosseront ce rôle IAM pour fournir des informations d’identification temporaires aux bénéficiaires.

Après avoir enregistré au moins un emplacement dans votre instance d’autorisations d’accès S3, vous pouvez créer une autorisation d’accès.

Le bénéficiaire peut être un utilisateur ou un rôle IAM, ou encore un utilisateur ou un groupe provenant d’un annuaire. Un utilisateur d’annuaire est un utilisateur issu de votre annuaire d’entreprise ou d’une source d’identité externe que vous avez associée à votre instance d’autorisations d’accès S3. Pour de plus amples informations, veuillez consulter Autorisations d’accès S3 et identités d’annuaire d’entreprise. Pour créer une autorisation pour un utilisateur ou un groupe spécifique à partir d’IAM Identity Center, recherchez le GUID utilisé par IAM Identity Center afin d’identifier cet utilisateur dans IAM Identity Center (par exemple, a1b2c3d4-5678-90ab-cdef-EXAMPLE11111). Pour plus d’informations sur l’utilisation d’IAM Identity Center pour consulter les informations utilisateur, consultez Affichage des attributions des utilisateurs et des groupes dans le Guide de l’utilisateur AWS IAM Identity Center .

Vous pouvez accorder l’accès à un compartiment, à un préfixe ou à un objet. Dans Amazon S3, un préfixe est une chaîne de caractères située au début d’un nom de clé d’objet et qui sert à organiser les objets au sein d’un compartiment. Il peut s’agir de n’importe quelle chaîne de caractères autorisés, par exemple des noms de clé d’objet d’un compartiment commençant par le préfixe engineering/.

Sous-préfixe

Lorsque vous accordez l’accès à un emplacement enregistré, vous pouvez utiliser le champ Subprefix pour restreindre l’étendue de l’accès à un sous-ensemble de cet emplacement. Si l’emplacement enregistré que vous choisissez pour l’autorisation est le chemin S3 par défaut (s3://), vous devez réduire la portée de cette autorisation. Vous ne pouvez pas créer d’autorisation d’accès pour l’emplacement par défaut (s3://), ce qui permettrait au bénéficiaire d’accéder à chaque compartiment d’une Région AWS. À la place, vous devez limiter la portée de l’autorisation à l’un des éléments suivants :

Si vous créez une autorisation d’accès dans laquelle l’emplacement enregistré est un compartiment, vous pouvez transmettre l’un des éléments suivants dans le champ Subprefix pour limiter la portée de cette autorisation :

Une fois que vous avez créé l'autorisation, l'étendue de la subvention qui s'affiche dans la console Amazon S3 ou GrantScope qui est renvoyée dans la réponse API ou AWS Command Line Interface (AWS CLI) est le résultat de la concaténation du chemin de localisation avec le. Subprefix Assurez-vous que ce chemin concaténé correspond bien au compartiment, au préfixe ou à l’objet S3 auquel vous souhaitez accorder l’accès.

Vous pouvez créer une autorisation d'accès à l'aide de la console Amazon S3 AWS CLI, de l'API REST Amazon S3 et AWS SDKs.

aws s3control create-access-grant \
--account-id 111122223333 \
--access-grants-location-id a1b2c3d4-5678-90ab-cdef-EXAMPLE22222 \
--access-grants-location-configuration S3SubPrefix=prefixB* \
--permission READ \
--grantee GranteeType=IAM,GranteeIdentifier=arn:aws:iam::123456789012:user/data-consumer-3

{"CreatedAt": "2023-05-31T18:41:34.663000+00:00",
    "AccessGrantId": "a1b2c3d4-5678-90ab-cdef-EXAMPLE11111",
    "AccessGrantArn": "arn:aws:s3:us-east-2:111122223333:access-grants/default/grant/a1b2c3d4-5678-90ab-cdef-EXAMPLE11111",
    "Grantee": {
        "GranteeType": "IAM",
        "GranteeIdentifier": "arn:aws:iam::111122223333:user/data-consumer-3"
    },
    "AccessGrantsLocationId": "a1b2c3d4-5678-90ab-cdef-EXAMPLE22222",
    "AccessGrantsLocationConfiguration": {
        "S3SubPrefix": "prefixB*"
    },
    "GrantScope": "s3://DOC-BUCKET-EXAMPLE/prefix*",
    "Permission": "READ"
}

aws identitystore list-users --identity-store-id d-1a2b3c4d1234 

aws identitystore list-groups --identity-store-id d-1a2b3c4d1234

aws s3control create-access-grant \
--account-id 123456789012 \
--access-grants-location-id default \
--access-grants-location-configuration S3SubPrefix="amzn-s3-demo-bucket/rafael/*" \
--permission READWRITE \
--grantee GranteeType=DIRECTORY_USER,GranteeIdentifier=83d43802-00b1-7054-db02-f1d683aacba5 \