Présentation de la liste de contrôle d’accès (ACL)

Les listes de contrôle d’accès (ACL) d’Amazon S3 vous permettent d’accéder aux compartiments et aux objets. Chaque compartiment et objet possède une liste ACL qui lui est attachée comme sous-ressource. Une liste ACL définit quels Comptes AWS ou groupes bénéficient d’un accès et le type d’accès. Lors de la réception d’une demande sur une ressource, Amazon S3 vérifie la liste ACL correspondante pour s’assurer que le demandeur possède les autorisations d’accès nécessaires.

La propriété d’objets S3 est un paramètre Amazon S3 au niveau des compartiments que vous pouvez utiliser pour contrôler la propriété des objets qui sont chargés dans votre compartiment, ainsi que pour désactiver ou activer les listes ACL. Par défaut, la propriété d’objets est définie sur le paramètre Propriétaire du compartiment appliqué, et toutes les listes ACL sont désactivées. Lorsque les listes ACL sont désactivées, le propriétaire du compartiment détient tous les objets du compartiment et gère leur accès exclusivement au moyen de politiques de gestion des accès.

La majorité des cas d’utilisation modernes dans Amazon S3 ne nécessitent plus l’utilisation des listes ACL. Nous vous recommandons de maintenir les listes ACL désactivées, sauf dans des circonstances inhabituelles où vous devez contrôler l’accès individuellement pour chaque objet. Lorsque les listes ACL sont désactivées, vous pouvez utiliser des politiques pour contrôler l’accès à tous les objets de votre compartiment, quelle que soit la personne qui les a chargés dans votre compartiment. Pour plus d’informations, consultez Consultez Contrôle de la propriété des objets et désactivation des listes ACL pour votre compartiment.

Lorsque vous créez un compartiment ou un objet, Amazon S3 crée une liste ACL par défaut qui octroie au propriétaire de la ressource le contrôle total sur celle-ci. Ce comportement est illustré dans l’exemple de liste ACL de compartiment suivant (la liste ACL d’objet par défaut possède la même structure) :

<?xml version="1.0" encoding="UTF-8"?>
<AccessControlPolicy xmlns="http://s3.amazonaws.com/doc/2006-03-01/">
  <Owner>
    <ID>*** Owner-Canonical-User-ID ***</ID>
    <DisplayName>owner-display-name</DisplayName>
  </Owner>
  <AccessControlList>
    <Grant>
      <Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" 
               xsi:type="Canonical User">
        <ID>*** Owner-Canonical-User-ID ***</ID>
        <DisplayName>display-name</DisplayName>
      </Grantee>
      <Permission>FULL_CONTROL</Permission>
    </Grant>
  </AccessControlList>
</AccessControlPolicy> 

L’exemple de liste ACL inclut un élément Owner qui identifie le propriétaire par l’ID d’utilisateur canonique du Compte AWS. Pour obtenir des instructions pour trouver votre ID d’utilisateur canonique, consultez Recherche d’un ID d’utilisateur canonique de Compte AWS. L’élément Grant identifie le bénéficiaire (un Compte AWS ou groupe prédéfini), et l’autorisation accordée. Cette liste ACL par défaut possède un élément Grant pour le propriétaire. Vous accordez des autorisations en ajoutant des éléments Grant, avec chaque accord identifiant le bénéficiaire et l’autorisation.

Qui est un bénéficiaire ?

Un bénéficiaire peut être un Compte AWS ou l’un des groupes Amazon S3 prédéfinis. Vous accordez l’autorisation à un Compte AWS en utilisant l’adresse e-mail ou l’ID d’utilisateur canonique. Toutefois, si vous fournissez une adresse e-mail dans la demande d’accord, Amazon S3 trouve l’ID d’utilisateur canonique pour ce compte et l’ajoute à la liste ACL. Les listes ACL obtenues contiennent toujours l’ID d’utilisateur canonique pour le Compte AWS, mais pas l’adresse e-mail du Compte AWS.

Lorsque vous accordez des droits d’accès, vous spécifiez chaque bénéficiaire sous la forme d’une paire type="value", où le type est l’un des suivants :

x-amz-grant-read: emailAddress="xyz@example.com", emailAddress="abc@example.com"

Recherche d’un ID d’utilisateur canonique de Compte AWS

L’ID d’utilisateur canonique est associé au Compte AWS. Cet ID est composé d’une longue chaîne de caractères, par exemple :

79a59df900b949e55d96a1e698fbacedfd6e09d98eacf8f8d5218e7cd47ef2be

Pour découvrir comment trouver l’ID d’utilisateur canonique de votre compte, consultez Recherche de l’ID d’utilisateur canonique de votre Compte AWS dans le Guide de référence sur la gestion des comptes AWS.

Vous pouvez également rechercher l’ID d’utilisateur canonique d’un Compte AWS en lisant la liste ACL d’un compartiment ou d’un objet pour lequel le Compte AWS possède les autorisations d’accès. Lorsqu’un Compte AWS individuel reçoit des autorisations suite à une demande d’octroi, une entrée d’accord est ajoutée à la liste ACL avec l’ID d’utilisateur canonique du compte.

Groupes prédéfinis Amazon S3

Amazon S3 possède un ensemble de groupes prédéfinis. Lorsque l’accès à un compte est accordé à un groupe, vous spécifiez l’un des URI Amazon S3 au lieu de l’ID d’utilisateur canonique. Amazon S3 fournit les groupes prédéfinis suivants :

Quelles autorisations puis-je octroyer ?

Le tableau suivant répertorie l’ensemble des autorisations qu’Amazon S3 prend en charge dans une liste ACL. Toutes les autorisations de liste ACL sont identiques pour les listes ACL d’objet et de compartiment. Toutefois, selon le contexte (liste ACL de compartiment ou liste ACL d’objet), ces autorisations de liste ACL accordent des autorisations pour des opérations spécifiques de compartiment ou d’objet. Le tableau répertorie les autorisations et décrit ce qu’elles signifient pour des objets et des compartiments.

Pour plus d’informations sur les autorisations ACL dans la console Amazon S3, consultez Configuration des listes ACL.

Mappage des autorisations de liste ACL et de stratégie d’accès

Comme illustré dans la table précédente, une liste ACL permet uniquement d’accorder un ensemble limité d’autorisations, comparé au nombre d’autorisations configurables dans une stratégie d’accès (consultez Actions de politique pour Amazon S3). Chacune de ces autorisations permet une ou plusieurs opérations Amazon S3.

Le tableau suivant montre comment chacune des autorisations de liste ACL est mappée aux autorisations de stratégie d’accès correspondantes. Comme vous pouvez le voir, une stratégie d’accès accorde plus d’autorisations qu’une liste ACL. Vous utilisez une liste ACL principalement pour accorder des autorisations de lecture/écriture de base, similaires aux autorisations de système de fichiers. Pour plus d’informations sur le moment où utiliser une ACL, consultez Gestion des identités et des accès pour Amazon S3.

Pour plus d’informations sur les autorisations ACL dans la console Amazon S3, consultez Configuration des listes ACL.

Clés de condition

Lorsque vous accordez des autorisations de stratégie d’accès, vous pouvez utiliser des clés de condition pour limiter la valeur de l’ACL sur un objet à l’aide d’une politique de compartiment. Les clés de contexte suivantes correspondent aux listes ACL. Vous pouvez utiliser ces clés de contexte pour exiger l’utilisation d’une liste ACL spécifique dans une demande :

Pour des exemples de stratégies impliquant des en-têtes spécifiques à une liste ACL, consultez Octroi de l’autorisation s3:PutObject avec une condition qui nécessite que le propriétaire du compartiment ait le contrôle total. Pour obtenir la liste complète des clés de condition spécifiques à Amazon S3, consultez Actions, ressources et clés de condition pour Amazon S3 dans la Référence de l’autorisation de service.

Pour plus d’informations sur les autorisations relatives aux opérations d’API S3 par type de ressource S3, consultez Autorisations requises pour les opérations d’API Amazon S3.

Valeurs aclRequired pour les demandes Amazon S3 courantes

Pour identifier les demandes Amazon S3 qui ont nécessité des listes ACL pour l’autorisation, vous pouvez utiliser la valeur aclRequired dans les journaux d’accès du serveur Amazon S3 ou AWS CloudTrail. La valeur aclRequired qui apparaît dans les journaux d’accès au serveur CloudTrail ou Amazon S3 dépend des opérations appelées et de certaines informations concernant le demandeur, le propriétaire de l’objet et le propriétaire du compartiment. Si aucune liste ACL n’était requise, si vous définissez la liste ACL bucket-owner-full-control prédéfinie ou si les demandes sont autorisées par votre politique de compartiment, la chaîne de valeur aclRequired est « - » dans les journaux d’accès au serveur Amazon S3 et est absente dans CloudTrail.

Les tables suivantes répertorient les valeurs aclRequired attendues dans les journaux d’accès au serveur CloudTrail ou Amazon S3 pour les différentes opérations de l’API Amazon S3. Vous pouvez utiliser ces informations pour comprendre quelles opérations Amazon S3 dépendent des listes ACL pour l’autorisation. Dans les tables suivantes, A, B et C représentent les différents comptes associés au demandeur, au propriétaire de l’objet et au propriétaire du compartiment. Les entrées suivies d’un astérisque (*) indiquent l’un des comptes A, B ou C.

Le tableau suivant indique les valeurs aclRequired pour CloudTrail.

Le tableau suivant indique les valeurs aclRequired des journaux d’accès au serveur Amazon S3.

Exemple de liste ACL

L’exemple de liste ACL suivant sur un compartiment identifie le propriétaire de la ressource et un ensemble d’accords. Le format est la représentation XML d’une liste ACL dans l’API REST Amazon S3. Le propriétaire du compartiment possède l’accès FULL_CONTROL sur la ressource. De plus, la liste ACL montre comment les autorisations sont accordées sur une ressource à deux Comptes AWS, identifiés par l’ID d’utilisateur canonique, et à deux des groupes Amazon S3 prédéfinis mentionnés dans la section précédente.

<?xml version="1.0" encoding="UTF-8"?>
<AccessControlPolicy xmlns="http://s3.amazonaws.com/doc/2006-03-01/">
  <Owner>
    <ID>Owner-canonical-user-ID</ID>
    <DisplayName>display-name</DisplayName>
  </Owner>
  <AccessControlList>
    <Grant>
      <Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="CanonicalUser">
        <ID>Owner-canonical-user-ID</ID>
        <DisplayName>display-name</DisplayName>
      </Grantee>
      <Permission>FULL_CONTROL</Permission>
    </Grant>
    
    <Grant>
      <Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="CanonicalUser">
        <ID>user1-canonical-user-ID</ID>
        <DisplayName>display-name</DisplayName>
      </Grantee>
      <Permission>WRITE</Permission>
    </Grant>

    <Grant>
      <Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="CanonicalUser">
        <ID>user2-canonical-user-ID</ID>
        <DisplayName>display-name</DisplayName>
      </Grantee>
      <Permission>READ</Permission>
    </Grant>

    <Grant>
      <Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="Group">
        <URI>http://acs.amazonaws.com/groups/global/AllUsers</URI> 
      </Grantee>
      <Permission>READ</Permission>
    </Grant>
    <Grant>
      <Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="Group">
        <URI>http://acs.amazonaws.com/groups/s3/LogDelivery</URI>
      </Grantee>
      <Permission>WRITE</Permission>
    </Grant>

  </AccessControlList>
</AccessControlPolicy>

Liste ACL prête à l’emploi

Amazon S3 prend en charge un ensemble d’accords prédéfinis, appelées listes ACL prédéfinies. Chaque liste ACL prête à l’emploi possède un ensemble prédéfini de bénéficiaires et d’autorisations. Le tableau suivant liste l’ensemble des listes ACL prêtes à l’emploi et les accords prédéfinis associés.

Vous pouvez spécifier une liste ACL prédéfinie dans votre demande grâce à l’en-tête x-amz-acl. Lorsqu’Amazon S3 reçoit une demande contenant une liste ACL prédéfinie, il ajoute les accords prédéfinis à la liste ACL de la ressource.