Exemple 4 - Le propriétaire du bucket accorde une autorisation multicompte à des objets qu'il ne possède pas

Assurez-vous d'en avoir trois Comptes AWS et chaque compte possède un utilisateur administrateur, comme indiqué dans le tableau de la section précédente.

1. Inscrivez-vous pour Comptes AWS, selon les besoins. Nous appelons ces comptes : Compte A, Compte B et Compte C.

2. À l'aide des informations d'identification du compte A, connectez-vous à la IAMconsole et procédez comme suit pour créer un utilisateur administrateur :

   • Créez un utilisateur AccountAadmin et notez ses informations de sécurité. Pour plus d'informations sur l'ajout d'utilisateurs, voir Création d'un IAM utilisateur dans votre Compte AWS dans le guide de l'utilisateur IAM.

   • Accordez des privilèges d'administrateur à AccountAadminen joignant une politique utilisateur donnant un accès complet. Pour obtenir des instructions, reportez-vous à la section Gestion des IAM politiques dans le guide de IAM l'utilisateur.

   • Dans le tableau de bord de la IAM console, notez la connexion URL de IAM l'utilisateur. Les utilisateurs de ce compte doivent l'utiliser URL lorsqu'ils se connectent au AWS Management Console. Pour plus d'informations, voir Se connecter au AWS Management Console en tant qu'IAMutilisateur dans le Guide de IAM l'utilisateur.

3. Répétez l'étape précédente pour créer les utilisateurs administrateur dans le Compte B et le Compte C.

Pour le compte C, notez l'ID utilisateur canonique.

Lorsque vous créez un IAM rôle dans le compte A, la politique de confiance autorise le compte C à assumer le rôle en spécifiant l'identifiant du compte. Vous pouvez trouver les informations de compte comme suit :

1. Utilisez votre Compte AWS ID ou alias de compte, votre nom IAM d'utilisateur et votre mot de passe pour vous connecter à la console Amazon S3.

2. Choisissez le nom d'un compartiment Amazon S3 pour afficher les détails concernant ce compartiment.

3. Sélectionnez l'onglet Permissions (Autorisations), puis Access Control List (Liste de contrôle d'accès).

4. Dans l'accès pour votre Compte AWSsection, dans la colonne Compte se trouve un identifiant long, tel quec1daexampleaaf850ea79cf0430f33d72579fd1611c97f7ded193374c0b163b6. Ceci est votre ID d'utilisateur canonique.

Lorsque vous créez une stratégie de compartiment, vous avez besoin des informations suivantes. Notez ces valeurs :

Configurez l'un ou l'autre AWS Command Line Interface (CLI) ou le AWS Tools for Windows PowerShell. Assurez-vous d'enregistrer les informations d'identification de l'utilisateur administrateur comme suit :

Pour obtenir des instructions, consultez Configuration des outils pour les visites guidées.

Créez un compartiment. Cet exercice assume que le nom du compartiment est amzn-s3-demo-bucket1.

Pour obtenir des instructions, consultez Créer un compartiment.

Joignez la politique de compartiment suivante. La politique accorde une autorisation conditionnelle à l'administrateur du compte B pour télécharger des objets.

Mettez à jour la politique en fournissant vos propres valeurs pour amzn-s3-demo-bucket1AccountB-ID, et leCanonicalUserId-of-AWSaccountA-BucketOwner.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "111",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::AccountB-ID:user/AccountBadmin"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*"
        },
        {
            "Sid": "112",
            "Effect": "Deny",
            "Principal": {
                "AWS": "arn:aws:iam::AccountB-ID:user/AccountBadmin"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*",
            "Condition": {
                "StringNotEquals": {
                    "s3:x-amz-grant-full-control": "id=CanonicalUserId-of-AWSaccountA-BucketOwner"
                }
            }
        }
    ]
}

Avant de créer le rôle, préparez la politique gérée qui définit les autorisations qu'exige le rôle. Vous attachez cette politique au rôle dans une étape ultérieure.

1. Dans le volet de navigation de gauche, choisissez Policies, puis Create Policy.

2. En regard de Create Your Own Policy (Créez votre politique), choisissez Select (Sélectionner).

3. Saisissez access-accountA-bucket dans le champ Policy Name.

4. Copiez la stratégie d'accès suivante et collez-la dans le champ Policy Document. La politique d'accès accorde l's3:GetObjectautorisation de rôle. Ainsi, lorsque l'utilisateur du compte C assume le rôle, il ne peut effectuer que l's3:GetObjectopération.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "s3:GetObject",
         "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*"
       }
     ]
   }

5. Choisissez Create Policy (Créer une politique).

   La nouvelle politique apparaît dans la liste des politiques gérées.

Dans le volet de navigation de gauche, choisissez Rôles, puis choisissez Créer un nouveau rôle.

Sous Sélectionner le type de rôle, sélectionnez Rôle pour l'accès entre comptes, puis cliquez sur le bouton Sélectionner à côté de Fournir un accès entre Comptes AWS tu possèdes.

Saisissez l'ID de compte du Compte C.

Pour cette procédure pas à pas, il n'est pas nécessaire de demander aux utilisateurs de disposer d'une authentification multifactorielle (MFA) pour assumer le rôle. Ne sélectionnez donc pas cette option.

Choisissez Next Step pour définir les autorisations qui seront associées au rôle.

Cochez la case à côté de la politique Access-Accounta-Bucket que vous avez créée, puis choisissez Next Step.

La page de révision apparaît pour que vous confirmiez les paramètres pour le rôle avant qu'il ne soit créé. Sur cette page, il est très important que vous notiez le lien que vous pouvez envoyer aux utilisateurs qui ont besoin d'utiliser ce rôle. Les utilisateurs qui utilisent le lien accèdent directement à la page Changer de rôle avec les champs ID de compte et Nom de rôle déjà remplis. Vous pouvez également consulter ce lien ultérieurement sur la page Récapitulatif des rôles pour tout rôle multicompte.

Entrez examplerole le nom du rôle, puis choisissez Next Step.

Après avoir examiné le rôle, choisissez Create Role.

Le rôle examplerole est affiché dans la liste des rôles.

Choisissez le nom du rôleexamplerole.

Sélectionnez l'onglet Trust Relationships.

Choisissez Afficher le document de stratégie et vérifiez que la politique de confiance affichée correspond à la politique suivante.

La stratégie d'approbation suivante instaure la confiance avec le Compte C, en lui permettant d'exécuter l'action sts:AssumeRole. Pour plus d’informations, consultez .AssumeRole dans le .AWS Security Token Service APIRéférence.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::AccountC-ID:root"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Notez le nom de ressource Amazon (ARN) du examplerole rôle que vous avez créé.

Plus loin dans les étapes suivantes, vous associez une politique utilisateur pour permettre à un IAM utilisateur d'assumer ce rôle, et vous identifiez le rôle par la ARN valeur.

À l'aide de la connexion IAM utilisateur URL pour le compte C, connectez-vous d'abord au AWS Management Console en tant qu'AccountCadminutilisateur.

Dans la IAMconsole, créez un utilisateur, Dave.

Pour step-by-step obtenir des instructions, voir Création d'IAMutilisateurs (AWS Management Console) dans le guide de IAM l'utilisateur.

Notez les informations d'identification de Dave. Dave a besoin de ces informations d'identification pour assumer le rôle examplerole.

Créez une politique intégrée permettant à l'IAMutilisateur de Dave de déléguer l'sts:AssumeRoleautorisation à Dave sur le examplerole rôle dans le compte A.

1. Dans le panneau de navigation de gauche, sélectionnez Users (Utilisateurs).

2. Choisissez le nom d'utilisateur Dave.

3. Dans la page des détails de l'utilisateur, sélectionnez l'onglet Permissions (Autorisations) et développez la section Inline Policies (Stratégies en ligne).

4. Choisissez click here (ou Create User Policy).

5. Choisissez Custom Policy, puis Select.

6. Saisissez un nom pour la stratégie dans le champ Policy Name.

7. Copiez la stratégie suivante dans le champ Policy Document.

   Vous devez mettre à jour la politique en fournissant leAccountA-ID.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["sts:AssumeRole"],
         "Resource": "arn:aws:iam::AccountA-ID:role/examplerole"
       }
     ]
   }

8. Choisissez Apply Policy (Appliquer la stratégie).

Enregistrez les informations d'identification de Dave dans le fichier de configuration du AWS CLI en ajoutant un autre profil,AccountCDave.

[profile AccountCDave]
aws_access_key_id = UserDaveAccessKeyID
aws_secret_access_key = UserDaveSecretAccessKey
region = us-west-2

À l'invite de commande, exécutez ce qui suit AWS CLI assume-rolecommande utilisant le AccountCDave profil.

Vous devez mettre à jour la ARN valeur de la commande en indiquant AccountA-ID où examplerole est défini.

aws sts assume-role --role-arn arn:aws:iam::AccountA-ID:role/examplerole --profile AccountCDave --role-session-name test

En réponse, AWS Security Token Service (AWS STS) renvoie des informations de sécurité temporaires (ID de clé d'accès, clé d'accès secrète et jeton de session).

Enregistrez les informations de sécurité temporaires dans AWS CLI fichier de configuration sous le TempCred profil.

[profile TempCred]
aws_access_key_id = temp-access-key-ID
aws_secret_access_key = temp-secret-access-key
aws_session_token = session-token
region = us-west-2

À l'invite de commande, exécutez ce qui suit AWS CLI commande pour accéder aux objets à l'aide des informations d'identification temporaires. Par exemple, la commande spécifie l'objet principal API pour récupérer les métadonnées de l'HappyFace.jpgobjet.

aws s3api get-object --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg SaveFileAs.jpg --profile TempCred

Etant donné que la stratégie d'accès attachée au rôle examplerole autorise les actions, Amazon S3 traite la demande. Vous pouvez essayer n'importe quelle autre action sur n'importe quel objet du compartiment.

Si vous essayez une autre action, par exemple, l'autorisation get-object-acl vous sera refusée car le rôle n'est pas autorisé à effectuer cette action.

aws s3api get-object-acl --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg --profile TempCred

Nous avons utilisé Dave pour assumer le rôle et accéder à l'objet grâce à des autorisations temporaires. Il peut s'agir également d'une application dans le Compte C qui accède aux objets dans le compartiment amzn-s3-demo-bucket1. L'application peut obtenir des informations d'identification de sécurité temporaires, et le Compte C peut déléguer l'autorisation d'application pour assumer le rôle examplerole.

Une fois les tests terminés, vous pouvez effectuer les opérations suivantes pour effectuer le nettoyage :

1. Connectez-vous au AWS Management Consoleà l'aide des informations d'identification du compte A, puis procédez comme suit :

   • Dans la console Amazon S3, supprimez la stratégie de compartiment attachée à examplebucket. Dans la page Properties du compartiment, supprimez la stratégie dans la section Permissions.

   • Si le compartiment a été créé pour cet exercice, supprimez les objets, puis le compartiment, dans la console Amazon S3.

   • Dans la IAMconsole, supprimez le examplerole que vous avez créé dans le compte A. Pour step-by-step obtenir des instructions, voir Supprimer un IAM utilisateur dans le guide de IAM l'utilisateur.

   • Dans la IAMconsole, supprimez l'AccountAadminutilisateur.

Connectez-vous à la IAMconsole à l'aide des informations d'identification du compte B. Supprimez l'utilisateur AccountBadmin.

Connectez-vous à la IAMconsole à l'aide des informations d'identification du compte C. Supprimer AccountCadminet l'utilisateur Dave.