Configuration du navigateur de stockage pour S3

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Pour connecter les utilisateurs finaux aux emplacements Amazon S3, vous devez d’abord configurer une méthode d’authentification et d’autorisation. Il existe trois méthodes pour configurer une méthode d’authentification et d’autorisation avec le navigateur de stockage :

Méthode 1 : gérer l’accès aux données pour vos clients et partenaires tiers

Avec cette méthode, vous pouvez utiliser AWS Amplify Auth pour gérer le contrôle d’accès et la sécurité des fichiers. Cette méthode est idéale lorsque vous souhaitez connecter vos clients ou partenaires tiers aux données dans S3. Grâce à cette option, vos clients peuvent s’authentifier à l’aide de fournisseurs d’identité sociaux ou d’entreprise.

Vous fournissez des informations d'identification IAM à vos utilisateurs finaux et à des partenaires tiers à l'aide d' AWS Amplify Auth avec un compartiment S3 configuré pour utiliser Amplify Storage. AWS Amplify Auth repose sur Amazon Cognito, un service de gestion de l'identité et de l'accès des clients entièrement géré qui vous permet d'authentifier et d'autoriser les utilisateurs à partir d'un annuaire d'utilisateurs ou d'un annuaire d'entreprise intégré, ou auprès de fournisseurs d'identité de consommateurs. Le modèle d’autorisation Amplify définit les préfixes auxquels l’utilisateur authentifié actif peut accéder. Pour plus d’informations sur la configuration de l’autorisation pour AWS Amplify, consultez Configuration du stockage.

Pour initialiser le composant avec les méthodes d’authentification et de stockage Amplify, ajoutez l’extrait de code suivant à votre application web :

import {
  createAmplifyAuthAdapter,
  createStorageBrowser,
} from '@aws-amplify/ui-react-storage/browser';
import "@aws-amplify/ui-react-storage/styles.css";

import config from './amplify_outputs.json';

Amplify.configure(config);

export const { StorageBrowser } = createStorageBrowser({
  config: createAmplifyAuthAdapter(),
});

Méthode 2 : gestion de l'accès aux données pour vos principaux IAM pour votre compte AWS

Si vous souhaitez gérer l'accès pour vos principaux IAM ou Compte AWS directement, vous pouvez créer un rôle IAM autorisé à invoquer le GetDataAccessFonctionnement de l'API S3. Pour configurer cela, vous devez créer une instance d’autorisations d’accès S3 afin de mapper les autorisations pour les compartiments S3 et les préfixes aux identités IAM spécifiées. Le composant Storage Browser (qui doit être appelé côté client après avoir obtenu les informations d'identification IAM) invoquera ensuite le ListCallerAccessGrantsOpération de l'API S3 pour récupérer les autorisations disponibles pour le demandeur d'identité et renseigner les emplacements dans le composant. Une fois que vous avez obtenu l’autorisation s3:GetDataAccess, ces informations d’identification sont ensuite utilisées par le composant Navigateur de stockage pour demander l’accès aux données à S3.

import {
  createManagedAuthAdapter,
  createStorageBrowser,
} from '@aws-amplify/ui-react-storage/browser';
import "@aws-amplify/ui-react-storage/styles.css";

export const { StorageBrowser } = createStorageBrowser({
  config: createManagedAuthAdapter({
    credentialsProvider: async (options?: { forceRefresh?: boolean }) => {
      // return your credentials object
      return {
        credentials: {
          accessKeyId: 'my-access-key-id',
          secretAccessKey: 'my-secret-access-key',
          sessionToken: 'my-session-token',
          expiration: new Date()
        },
      }
    },
    // AWS `region` and `accountId`
    region: '',
    accountId: '',
    // call `onAuthStateChange` when end user auth state changes 
    // to clear sensitive data from the `StorageBrowser` state
    registerAuthListener: (onAuthStateChange) => {},
  })
});

Méthode 3 : gestion de l’accès aux données à l’échelle

Si vous souhaitez associer une instance d’autorisations d’accès S3 à IAM Identity Center pour bénéficier d’une solution plus évolutive (par exemple, si vous souhaitez fournir l’accès aux données à l’ensemble de votre entreprise), vous pouvez demander des données à Amazon S3 au nom de l’utilisateur authentifié actuel. Par exemple, vous pouvez autoriser les groupes d’utilisateurs de votre annuaire d’entreprise à accéder à vos données dans S3. Cette approche vous permet de gérer de manière centralisée les autorisations d’octroi d’accès S3 pour vos utilisateurs et groupes, y compris celles hébergées par des fournisseurs externes tels que Microsoft Entra, Okta, etc.

Lorsque vous utilisez cette méthode, l’intégration à l’IAM Identity Center vous permet d’utiliser les annuaires d’utilisateurs existants. Un autre avantage de la propagation d’identité approuvée d’IAM Identity Center est que chaque événement de données AWS CloudTrail pour Amazon S3 contient une référence directe à l’identité de l’utilisateur final qui a accédé aux données S3.

Si votre application prend en charge la OAuth version 2.0 et que vos utilisateurs ont besoin d'accéder à des AWS services depuis ces applications, nous vous recommandons d'utiliser la propagation d'identité sécurisée. Grâce à la propagation sécurisée des identités, un utilisateur peut se connecter à une application, et cette application peut transmettre son identité dans toutes les demandes d'accès aux données des AWS services. Cette application interagit avec IAM Identity Center pour le compte de tous les utilisateurs authentifiés. Pour plus d’informations, consultez Utilisation de la propagation d’identité approuvée entre applications.

Configuration

Pour configurer l'authentification du navigateur de stockage dans le cadre de la propagation des identités fiables à AWS Management Console l'aide de S3 Access Grants et d'IAM Identity Center, vos applications doivent demander des données à Amazon S3 au nom de l'utilisateur authentifié actuel. Grâce à cette approche, vous pouvez donner aux utilisateurs ou aux groupes d’utilisateurs de votre annuaire d’entreprise un accès direct à vos compartiments, préfixes ou objets S3. Votre application n’a donc pas besoin de mapper des utilisateurs à un principal IAM.

Le flux de travail suivant décrit les étapes de configuration du navigateur de stockage pour S3, à l’aide d’IAM Identity Center et des autorisations d’accès S3 :

Activation d’IAM Identity Center pour AWS Organizations

Pour activer IAM Identity Center pour votre AWS Organizations, effectuez les opérations suivantes :

AWS Organizations envoie automatiquement un e-mail de vérification à l'adresse associée à votre compte de gestion. Il peut y avoir un délai avant la réception de l’e-mail de vérification. Assurez-vous de vérifier votre adresse e-mail dans les 24 heures, avant l’expiration de l’e-mail de vérification.

Configuration de la fédération AWS Identity and Access Management Identity Center

Pour utiliser le navigateur de stockage pour S3 avec les utilisateurs de l’annuaire d’entreprise, vous devez configurer IAM Identity Center pour qu’il utilise un fournisseur d’identité (IdP) externe. Vous pouvez utiliser le fournisseur d’identité de votre choix. Sachez toutefois que chaque fournisseur d’identité utilise des paramètres de configuration différents. Pour en savoir plus sur l’utilisation de différents fournisseurs d’identité externes, consultez les didacticiels sources d’IAM Identity Center.

Ajout d’un émetteur de jetons approuvés dans la console AWS Identity and Access Management Identity Center

L’émetteur de jetons approuvés représente votre fournisseur d’identité externe au sein d’ AWS Identity and Access Management Identity Center, et reconnaît les jetons d’identité des utilisateurs authentifiés de votre application. Le propriétaire du compte de l'instance IAM Identity Center de votre ordinateur AWS Organizations doit effectuer ces étapes. Cela peut avoir lieu soit dans la console IAM Identity Center, soit par programmation.

Pour ajouter un émetteur de jetons de confiance dans la console AWS Identity and Access Management Identity Center, effectuez les opérations suivantes :

Création d’un rôle IAM pour l’application bootstrap et le identity bearer

Pour que l’application bootstrap et les utilisateurs du identity bearer puissent interagir de manière appropriée, veillez à créer deux rôles IAM. Un rôle IAM est requis pour l’application bootstrap, et l’autre rôle IAM doit être utilisé pour le porteur d’identité ou pour les utilisateurs finaux qui accèdent à l’application web demandant l’accès via les autorisations d’accès S3. L’application bootstrap recevra le jeton émis par le fournisseur d’identité et invoquera l’API CreateTokenWithIAM, en échangeant ce jeton avec celui émis par Identity Center.

Créez un rôle IAM, comme bootstrap-role, avec les autorisations suivantes. L’exemple suivant de politique IAM donne les autorisations nécessaires pour que bootstrap-role effectue l’échange de jetons :

{
    "Version": "2012-10-17",
    "Statement": [{
        "Action": [
            "sso-oauth:CreateTokenWithIAM",
        ],
        "Resource": "arn:${Partition}:sso::${AccountId}:application/${InstanceId}/${ApplicationId}",
        "Effect": "Allow"
    },
    {
        "Action": [
            "sts:AssumeRole",
            "sts:SetContext"
        ],
        "Resource": "arn:aws:iam::${AccountId}:role/identity-bearer-role",
        "Effect": "Allow"
    }]
}

Créez ensuite un deuxième rôle IAM (comme identity-bearer-role), que le fournisseur d’identité utilisera pour générer les informations d’identification IAM. Les informations d’identification IAM renvoyées par le fournisseur d’identité à l’application web sont utilisées par le composant Navigateur de stockage pour S3 afin d’autoriser l’accès aux données S3 :

{
    "Action": [
        "s3:GetDataAccess",
        "s3:ListCallerAccessGrants",
    ],
    "Resource": "arn:${Partition}:s3:${Region}:${Account}:access-grants/default",
    "Effect": "Allow"
} 

Ce rôle IAM (identity-bearer-role) doit utiliser une politique d’approbation avec l’instruction suivante :

{
   "Effect": "Allow",
   "Principal": {
      "AWS": "arn:${Partition}:iam::${Account}:role/${RoleNameWithPath}"
   },
   "Action": [
       "sts:AssumeRole",
       "sts:SetContext"
   ]
}

Création et configuration de votre application dans IAM Identity Center

Pour créer et configurer une application gérée par le client dans AWS IAM Identity Center, effectuez les étapes suivantes :

Une fois que vous avez configuré vos applications, vos utilisateurs peuvent y accéder depuis leur portail AWS d'accès en fonction des ensembles d'autorisations que vous avez créés et de l'accès utilisateur que vous avez attribué.

Ajout des autorisations d’accès S3 en tant qu’application approuvée pour la propagation des identités

Après avoir configuré votre application gérée par le client, vous devez spécifier les autorisations d’accès S3 pour la propagation des identités. Les autorisations d’accès S3 fournissent des informations d’identification aux utilisateurs pour qu’ils puissent accéder aux données Amazon S3. Lorsque vous vous connectez à votre application gérée par le client, les autorisations d’accès S3 transmettent votre identité d’utilisateur à l’application approuvée.

Prérequis : assurez-vous d’avoir configuré les autorisations d’accès S3 (par exemple, en créant une instance d’autorisations d’accès S3 et en enregistrant un emplacement) avant de suivre ces étapes. Pour plus d’informations, consultez Bien démarrer avec les autorisations d’accès S3.

Pour ajouter des autorisations d’accès S3 à des fins de propagation d’identité à votre application gérée par le client, effectuez les opérations suivantes :

Création d’une autorisation pour un utilisateur ou un groupe d’utilisateurs

Au cours de cette étape, vous utiliserez IAM Identity Center pour provisionner vos utilisateurs. Vous pouvez utiliser SCIM pour le provisionnement automatique ou manuel des utilisateurs et des groupes. SCIM synchronise les identités de votre IAM Identity Center avec les identités de votre fournisseur d’identité (IdP). Cela inclut le provisionnement, les mises à jour et le déprovisionnement des utilisateurs entre votre fournisseur d’identité et IAM Identity Center.

Pour synchroniser les utilisateurs du fournisseur d’identité avec IAM Identity Center, effectuez les opérations suivantes :

Pour obtenir des exemples de configuration du fournisseur d’identité avec IAM Identity Center pour votre cas d’utilisation spécifique, consultez les didacticiels sur les sources d’identité d’IAM Identity Center.

Création du composant Navigateur de stockage pour S3

Après avoir configuré une instance IAM Identity Center et après avoir créé des autorisations dans les autorisations d’accès S3, ouvrez l’application React. Dans l’application React, utilisez createManagedAuthAdapter pour configurer les règles d’autorisation. Vous devez indiquer un fournisseur d’informations d’identification pour renvoyer les informations d’identification que vous avez obtenues auprès d’IAM Identity Center. Vous pouvez ensuite appeler createStorageBrowser pour initialiser le composant Navigateur de stockage pour S3 :

import {
    createManagedAuthAdapter,
    createStorageBrowser,
} from '@aws-amplify/ui-react-storage/browser';
import '@aws-amplify/ui-react-storage/styles.css';

export const { StorageBrowser } = createStorageBrowser({
   config: createManagedAuthAdapter({
    credentialsProvider: async (options?: { forceRefresh?: boolean }) => {
      // return your credentials object
      return {
        credentials: {
          accessKeyId: 'my-access-key-id',
          secretAccessKey: 'my-secret-access-key',
          sessionToken: 'my-session-token',
          expiration: new Date(),
        },
      }
    },
    // AWS `region` and `accountId` of the S3 Access Grants Instance.
    region: '',
    accountId: '',
    // call `onAuthStateChange` when end user auth state changes 
    // to clear sensitive data from the `StorageBrowser` state
    registerAuthListener: (onAuthStateChange) => {},
  })
});

Créez ensuite un mécanisme pour échanger les jetons Web JSON (JWTs) de votre application Web avec les informations d'identification IAM d'IAM Identity Center. Pour plus d’informations sur l’échange de jetons JWT, consultez les ressources suivantes :

Configurez ensuite un point de terminaison d’API pour gérer les demandes d’extraction d’informations d’identification. Pour valider l’échange de jetons web JSON (JWT), effectuez les opérations suivantes :

Pour échanger le jeton Web JSON du fournisseur d'identité avec les informations d'identification AWS IAM, effectuez les opérations suivantes :