Répertorier les autorisations d'accès accordées à l'appelant

Les propriétaires de données S3 peuvent utiliser les autorisations d'accès S3 pour créer des autorisations d'accès pour AWS Identity and Access Management (IAM) ou pour les identités AWS IAM Identity Center d'annuaires d'entreprise. IAMles identités et les identités du répertoire IAM Identity Center peuvent à leur tour utiliser le ListCallerAccessGrants API pour répertorier tous les compartiments, préfixes et objets Amazon S3 auxquels ils peuvent accéder, tels que définis par leurs autorisations d'accès S3. Utilisez-le API pour découvrir toutes les données S3 auxquelles une identité de répertoire IAM ou de répertoire peut accéder par le biais de S3 Access Grants.

Vous pouvez utiliser cette fonctionnalité pour créer des applications qui affichent les données accessibles à des utilisateurs finaux spécifiques. Par exemple, le navigateur de AWS stockage pour S3, un composant d'interface utilisateur open source que les clients utilisent pour accéder aux compartiments S3, utilise cette fonctionnalité pour présenter aux utilisateurs finaux les données auxquelles ils ont accès dans Amazon S3, en fonction de leurs autorisations d'accès S3. Autre exemple : lorsque vous créez une application pour parcourir, charger ou télécharger des données dans Amazon S3, vous pouvez utiliser cette fonctionnalité pour créer une arborescence dans votre application qu'un utilisateur final pourra ensuite parcourir.

Le bénéficiaire, qu'il s'agisse IAM d'une identité ou d'une identité de répertoire d'entreprise, peut obtenir une liste de ses autorisations d'accès en utilisant le AWS Command Line Interface (AWS CLI), l'Amazon S3 REST API et le AWS SDKs.

aws s3control list-caller-access-grants \
--account-id 111122223333 \
--region us-east-2
--max-results 5 

{
	"NextToken": "6J9S...",
	"CallerAccessGrantsList": [
		{
			"Permission": "READWRITE",
			"GrantScope": "s3://amzn-s3-demo-bucket/prefix1/sub-prefix1/*",
			"ApplicationArn": "NA"
		},
		{
			"Permission": "READWRITE",
			"GrantScope": "s3://amzn-s3-demo-bucket/prefix1/sub-prefix2/*",
			"ApplicationArn": "ALL"
		},
		{
			"Permission": "READWRITE",
			"GrantScope": "s3://amzn-s3-demo-bucket/prefix1/sub-prefix3/*",
			"ApplicationArn": "arn:aws:sso::111122223333:application/ssoins-ssoins-1234567890abcdef/apl-abcd1234a1b2c3d"
		}
	]
}

aws s3control list-caller-access-grants \
--account-id 111122223333 \
--region us-east-2
--grant-scope "s3://amzn-s3-demo-bucket""
--max-results 1000 

{
	"NextToken": "6J9S...",
	"CallerAccessGrantsList": [
		{
			"Permission": "READ",
			"GrantScope": "s3://amzn-s3-demo-bucket*",
			"ApplicationArn": "ALL"
		},
		{
			"Permission": "READ",
			"GrantScope": "s3://amzn-s3-demo-bucket/prefix1/*",
			"ApplicationArn": "arn:aws:sso::111122223333:application/ssoins-ssoins-1234567890abcdef/apl-abcd1234a1b2c3d"
		}
	]
}