Exemple 2 : propriétaire d'un compartiment accordant à ses utilisateurs des autorisations entre comptes sur un compartiment

1. Assurez-vous que vous en avez deux Comptes AWS et que chaque compte possède un utilisateur administrateur, comme indiqué dans le tableau de la section précédente.

   1. Inscrivez-vous pour un Compte AWS, si nécessaire.

   2. À l'aide des informations d'identification du compte A, connectez-vous à la IAMconsole pour créer l'utilisateur administrateur :

      1. Créez un utilisateur AccountAadmin et notez les informations d'identification de sécurité. Pour obtenir des instructions, reportez-vous à la section Création IAM d'un utilisateur Compte AWS dans le guide de IAM l'utilisateur.

      2. Accordez des privilèges d'administrateur à AccountAadminen joignant une politique utilisateur donnant un accès complet. Pour obtenir des instructions, reportez-vous à la section Utilisation des politiques dans le guide de IAM l'utilisateur.

   3. Lorsque vous êtes dans la IAM console, notez la connexion de l'IAMutilisateur URL sur le tableau de bord. Tous les utilisateurs du compte doivent l'utiliser URL lorsqu'ils se connectent au AWS Management Console.

      Pour plus d'informations, consultez la section Comment les utilisateurs se connectent à votre compte dans le Guide de IAM l'utilisateur.

   4. Répétez l'étape précédente en utilisant les informations d'identification du compte B et créez un utilisateur administrateurAccountBadmin.

2. Configurez le AWS Command Line Interface (AWS CLI) ou le AWS Tools for Windows PowerShell. Assurez-vous d'enregistrer les informations d'identification de l'utilisateur administrateur comme suit :

   • Si vous utilisez le AWS CLI, créez deux profils, AccountAadmin etAccountBadmin, dans le fichier de configuration.

   • Si vous utilisez le AWS Tools for Windows PowerShell, assurez-vous de stocker les informations d'identification de la session sous forme AccountAadmin etAccountBadmin.

   Pour obtenir des instructions, consultez Configuration des outils pour les visites guidées.

3. Enregistrez les autorisations de l'utilisateur administrateur, également appelées « profils ». Vous pouvez utiliser le nom de profil au lieu de spécifier des autorisations pour chaque commande saisie. Pour de plus amples informations, veuillez consulter Configuration des outils pour les visites guidées.

   1. Ajoutez des profils dans le fichier AWS CLI d'informations d'identification pour chacun des utilisateurs administrateurs AccountAadmin et AccountBadmin dans les deux comptes.

      [AccountAadmin]
      aws_access_key_id = access-key-ID
      aws_secret_access_key = secret-access-key
      region = us-east-1
      
      [AccountBadmin]
      aws_access_key_id = access-key-ID
      aws_secret_access_key = secret-access-key
      region = us-east-1

   2. Si vous utilisez le AWS Tools for Windows PowerShell, exécutez la commande suivante.

      set-awscredentials –AccessKey AcctA-access-key-ID –SecretKey AcctA-secret-access-key –storeas AccountAadmin
      set-awscredentials –AccessKey AcctB-access-key-ID –SecretKey AcctB-secret-access-key –storeas AccountBadmin

1. Dans la console Amazon S3, créez un compartiment. Cet exercice suppose que le bucket a été créé dans l'est des États-Unis (Virginie du Nord) Région AWS et qu'il porte un nomamzn-s3-demo-bucket.

   Pour obtenir des instructions, consultez Créer un compartiment.

2. Chargez un exemple d'objet dans le compartiment.

   Pour plus d'informations, consultez Étape 2 : Charger un objet dans votre compartiment.

1. Attachez la stratégie de compartiment suivante à amzn-s3-demo-bucket. Cette stratégie accorde au compte B une autorisation pour les actions s3:GetLifecycleConfiguration et s3:ListBucket.

   Pour obtenir des instructions, consultez Ajout d'une stratégie de compartiment à l'aide de la console Amazon S3.

   {
      "Version": "2012-10-17",
      "Statement": [
         {
            "Sid": "Example permissions",
            "Effect": "Allow",
            "Principal": {
               "AWS": "arn:aws:iam::AccountB-ID:root"
            },
            "Action": [
               "s3:GetLifecycleConfiguration",
               "s3:ListBucket"
            ],
            "Resource": [
               "arn:aws:s3:::amzn-s3-demo-bucket"
            ]
         }
      ]
   }

2. Vérifiez que le compte B (et donc son utilisateur administrateur) peut effectuer les opérations.

   • Vérifiez à l'aide du AWS CLI

     aws s3 ls s3://amzn-s3-demo-bucket --profile AccountBadmin
     aws s3api get-bucket-lifecycle-configuration --bucket amzn-s3-demo-bucket --profile AccountBadmin

   • Vérifiez à l'aide du AWS Tools for Windows PowerShell

     get-s3object -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBadmin 
     get-s3bucketlifecycleconfiguration -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBadmin

Testez les autorisations à l'aide du AWS CLI

1. Ajoutez le UserDave profil au fichier de AWS CLI configuration. Pour plus d'informations sur le fichier de configuration, consultez Configuration des outils pour les visites guidées.

   [profile UserDave]
   aws_access_key_id = access-key
   aws_secret_access_key = secret-access-key
   region = us-east-1

2. À l'invite de commande, entrez la AWS CLI commande suivante pour vérifier que Dave peut désormais obtenir une liste d'objets à partir du compte amzn-s3-demo-bucket appartenant au compte A. Notez que la commande spécifie le UserDave profil.

   aws s3 ls s3://amzn-s3-demo-bucket --profile UserDave

   Dave n'a aucune autre autorisation. Ainsi, s'il tente une autre opération, par exemple la get-bucket-lifecycle configuration suivante, Amazon S3 renvoie l'autorisation refusée.

   aws s3api get-bucket-lifecycle-configuration --bucket amzn-s3-demo-bucket --profile UserDave

Tester les autorisations en utilisant AWS Tools for Windows PowerShell

1. Conservez les informations d'identification de Dave sous le nomAccountBDave.

   set-awscredentials -AccessKey AccessKeyID -SecretKey SecretAccessKey -storeas AccountBDave

2. Essayez la commande permettant de répertorier les compartiments.

   get-s3object -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBDave

   Dave n'a aucune autre autorisation. Ainsi, s'il tente une autre opération, par exemple la suivante, get-s3bucketlifecycleconfiguration Amazon S3 renvoie l'autorisation refusée.

   get-s3bucketlifecycleconfiguration -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBDave

1. Une fois les tests terminés, vous pouvez effectuer les opérations suivantes pour effectuer le nettoyage :

   1. Connectez-vous au AWS Management Console (AWS Management Console) à l'aide des informations d'identification du compte A, puis procédez comme suit :

      • Dans la console Amazon S3, supprimez la stratégie de compartiment attachée à examplebucket. Dans la page Properties du compartiment, supprimez la stratégie dans la section Permissions.

      • Si le compartiment a été créé pour cet exercice, supprimez les objets, puis le compartiment, dans la console Amazon S3.

      • Dans la IAMconsole, supprimez l'AccountAadminutilisateur.

2. Connectez-vous à la IAMconsole à l'aide des informations d'identification du compte B. Supprimer l'utilisateurAccountBadmin. Pour step-by-step obtenir des instructions, reportez-vous à la section Suppression IAM d'un utilisateur dans le guide de IAM l'utilisateur.