Politiques, stratégies et autorisations dans Amazon S3

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Cette page fournit un aperçu des politiques relatives aux compartiments et aux utilisateurs dans Amazon S3 et décrit les éléments de base d'une politique AWS Identity and Access Management (IAM). Chaque élément répertorié renvoie vers des informations complémentaires sur cet élément et des exemples de son utilisation.

Pour obtenir la liste complète des actions, des ressources et des conditions Amazon S3, consultez Actions, ressources et clés de condition pour Amazon S3 dans la Référence de l’autorisation de service.

Pour plus d’informations sur les autorisations relatives aux opérations d’API S3 par type de ressource S3, consultez Autorisations requises pour les opérations d’API Amazon S3.

Une stratégie de base contient les éléments suivants :

L’exemple de politique de compartiment suivant montre les éléments Effect, Principal, Action et Resource. Cette politique accorde à Akua, utilisateur du compte 123456789012, les autorisations Amazon S3 s3:GetObject, s3:GetBucketLocation et s3:ListBucket au niveau du compartiment amzn-s3-demo-bucket1.

{
    "Version": "2012-10-17",
    "Id": "ExamplePolicy01",
    "Statement": [
        {
            "Sid": "ExampleStatement01",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::123456789012:user/Akua"
            },
            "Action": [
                "s3:GetObject",
                "s3:GetBucketLocation",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket1/*",
                "arn:aws:s3:::amzn-s3-demo-bucket1"
            ]
        }
    ]
}

Pour obtenir des informations complètes sur le langage des politiques, consultez Politiques et autorisations dans IAM et Référence de politique JSON IAM dans le Guide de l’utilisateur IAM.

Délégation d’autorisations

Si une personne Compte AWS possède une ressource, elle peut accorder ces autorisations à une autre personne Compte AWS. Ce compte peut alors déléguer à ces utilisateurs, l’ensemble de ces autorisations ou un sous-ensemble de celles-ci. Cela s’appelle une délégation d’autorisations. Cependant, un compte qui reçoit des autorisations d’un autre compte ne peut pas déléguer cette autorisation intercomptes à un autre Compte AWS.

Propriété du compartiment et de l’objet Amazon S3

Les compartiments et les objets sont des ressources Amazon S3. Par défaut, seul le propriétaire de ressource peut accéder à ces ressources. Le propriétaire de la ressource fait référence à Compte AWS celui qui crée la ressource. Par exemple :

Titularité et authentification de demande

Toutes les demandes à un compartiment sont soit authentifiées ou non authentifiées. Les demandes authentifiées doivent inclure une valeur de signature qui authentifie l’expéditeur de la demande, alors que les demandes non authentifiées. Pour plus d’informations sur l’authentification des demandes, consultez Demandes dans la Référence d’API Amazon S3.

Un propriétaire de compartiment peut choisir d’autoriser les demandes non authentifiées. Par exemple, non authentifié PutObjectles demandes sont autorisées lorsqu'un bucket dispose d'une politique de bucket public, ou lorsqu'une ACL de bucket accorde WRITE un FULL_CONTROL accès au All Users groupe ou à l'utilisateur anonyme en particulier. Pour plus d'informations sur les politiques relatives aux compartiments publics et les listes de contrôle d'accès public (ACLs), consultezLa signification du mot « public ».

Toutes les demandes non authentifiées sont faites par l’utilisateur anonyme. Cet utilisateur est représenté ACLs par l'ID 65a011a29cdf8ec533ec3d1ccaae921c utilisateur canonique spécifique. Si un objet est chargé sur un compartiment via une demande non authentifiée, l’utilisateur anonyme est propriétaire de l’objet. L’ACL d’objet par défaut autorise le FULL_CONTROL pour l’utilisateur anonyme en tant que propriétaire de l’objet. Ainsi, Amazon S3 autorise les demandes non authentifiées pour récupérer l’objet ou modifier son ACL.

Pour empêcher les objets d'être modifiés par l'utilisateur anonyme, nous vous recommandons de ne pas mettre en œuvre de politiques de bucket qui autorisent les écritures publiques anonymes dans votre bucket ou d'utiliser des politiques ACLs permettant à l'utilisateur anonyme d'accéder en écriture à votre bucket. Vous pouvez faire appliquer ce comportement recommandé à l’aide du blocage de l’accès public Amazon S3.

Pour en savoir plus sur le blocage de l’accès public, consultez Blocage de l’accès public à votre stockage Amazon S3. Pour plus d’informations sur ACLs, consultez Présentation de la liste de contrôle d’accès (ACL).