Authentification et autorisation des demandes

Par défaut, les compartiments de répertoires sont privés et sont accessibles uniquement par les utilisateurs auxquels l’accès a été explicitement accordé. La limite de contrôle d’accès pour les compartiments de répertoires est définie uniquement au niveau compartiment. En revanche, la limite de contrôle d’accès pour les compartiments à usage général peut être définie au niveau des compartiments, du préfixe ou de la balise d’objet. Cette différence signifie que les compartiments d'annuaire sont la seule ressource que vous pouvez inclure dans les politiques de compartiment ou les politiques IAM d'identité pour l'accès à S3 Express One Zone.

Amazon S3 Express One Zone prend en charge à la fois l'autorisation AWS Identity and Access Management (AWS IAM) et l'autorisation basée sur la session :

Avec cette CreateSession API opération, vous authentifiez et autorisez les demandes par le biais d'un nouveau mécanisme basé sur les sessions. Vous pouvez utiliser CreateSession pour demander des informations d’identification temporaires afin de bénéficier d’un accès à faible latence à votre compartiment. Ces informations d’identification temporaires sont limitées à un compartiment de répertoires spécifique.

Pour travailler avecCreateSession, nous vous recommandons d'utiliser la dernière version du AWS SDKs ou d'utiliser le AWS Command Line Interface (AWS CLI). L'établissement, le rafraîchissement AWS SDKs et la AWS CLI résiliation des sessions pris en charge et gérés en votre nom.

Vous utilisez des jetons de session avec uniquement des opérations zonales (niveau objet) (à l’exception de CopyObject et HeadBucket) pour répartir la latence associée à l’autorisation sur un certain nombre de demandes dans une session. Pour les API opérations de point de terminaison régional (opérations au niveau du compartiment), vous utilisez l'IAMautorisation, qui n'implique pas la gestion d'une session. Pour plus d’informations, consultez Autoriser un point de terminaison APIs régional avec IAM et Autoriser les opérations des terminaux API zonaux avec CreateSession.

Comment API les opérations sont authentifiées et autorisées

Le tableau suivant répertorie les informations d'authentification et d'autorisation pour les API opérations de bucket d'annuaire. Pour chaque API opération, le tableau indique le nom de l'APIopération, l'action IAM politique, le type de point de terminaison (régional ou zonal) et le mécanisme d'autorisation (IAMou basé sur les sessions). Ce tableau indique également si l'accès entre comptes est pris en charge. L'accès aux actions au niveau du compartiment ne peut être accordé que dans le cadre de politiques IAM basées sur l'identité (utilisateur ou rôle), et non dans le cadre de politiques de compartiment.