Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Contrôle de l'accès à un compartiment avec des stratégies d'utilisateur

Cette démonstration explique comment les autorisations utilisateur fonctionnent avec Amazon S3. Dans cet exemple, vous créez un compartiment avec des dossiers. Vous créez ensuite des AWS Identity and Access Management IAM utilisateurs dans votre compartiment Amazon S3 Compte AWS et vous leur accordez des autorisations supplémentaires sur votre compartiment Amazon S3 et les dossiers qu'il contient.

Principes de base des compartiments et des dossiers

Le modèle de données Amazon S3 est une structure horizontale : vous créez un compartiment et ce compartiment stocke des objets. Il n'existe aucune hiérarchie de sous-compartiments ou de sous-dossiers, mais vous pouvez émuler une hiérarchie de dossiers. Des outils tels que la console Amazon S3 peuvent présenter une vue de ces dossiers et sous-dossiers logiques dans votre compartiment.

La console montre qu'un compartiment nommé companybucket comporte trois dossiers, Private, Development et Finance, ainsi qu'un objet, s3-dg.pdf. La console utilise les noms d'objet (clés) pour créer une hiérarchie logique avec des dossiers et des sous-dossiers. Considérez les exemples suivants :

La console utilise des clés d'objet pour déduire une hiérarchie logique. Amazon S3 ne possède aucune hiérarchie physique. Amazon S3 ne propose que des compartiments contenant des objets dans une structure de fichier plate. Lorsque vous créez des objets à l'aide d'Amazon S3API, vous pouvez utiliser des clés d'objet qui impliquent une hiérarchie logique. Lorsque vous créez une hiérarchie logique d'objets, vous pouvez gérer l'accès aux dossiers individuels, comme le montre cette procédure détaillée.

Avant de commencer, veillez à vous familiariser avec le concept de contenu du compartiment de niveau racine. Supposez que votre compartiment companybucket contienne les objets suivants :

Ces clés d'objet créent une hiérarchie logique avec Private, Development et Finance comme dossiers de niveau racine et s3-dg.pdf comme objet de niveau racine. Lorsque vous choisissez le nom du compartiment dans la console Amazon S3, les éléments de niveau racine apparaissent. La console montre les préfixes de niveau supérieur (Private/, Development/ et Finance/) sous la forme de dossiers de niveau racine. La clé d'objet s3-dg.pdf n'a pas de préfixe et apparaît donc en tant qu'élément de niveau racine.

Résumé de la procédure détaillée

Dans cette procédure détaillée, vous créez un compartiment avec trois dossiers (Private, Development et Finance) dans celui-ci.

Vous avez deux utilisateurs, Alice et Bob. Vous souhaitez qu'Alice accède uniquement au dossier Development et que Bob accède uniquement au dossier Finance. Vous souhaitez garder le contenu du dossier Private privé. Dans la procédure pas à pas, vous gérez l'accès en créant des IAM utilisateurs (l'exemple utilise les noms d'utilisateur Alice et Bob) et en leur accordant les autorisations nécessaires.

IAMprend également en charge la création de groupes d'utilisateurs et l'octroi d'autorisations au niveau du groupe qui s'appliquent à tous les utilisateurs du groupe. Cela vous aide à mieux gérer les autorisations. Pour cet exercice, Alice et Bob ont besoin de certaines autorisations communes. Vous allez donc créer un groupe nommé Consultants et ajouter Alice et Bob à ce groupe. Vous commencerez par octroyer des autorisations en attachant une stratégie de groupe à ce groupe. Ensuite, vous ajouterez des autorisations spécifiques aux utilisateurs en attachant des stratégies aux utilisateurs spécifiques.

Préparation de la procédure détaillée

Dans cet exemple, vous utilisez vos Compte AWS informations d'identification pour créer des IAM utilisateurs. Initialement, ces utilisateurs n'ont aucune autorisation. Vous octroyez de façon incrémentielle des autorisations à ces utilisateurs pour leur permettre d'effectuer des actions Amazon S3 spécifiques. Pour tester ces autorisations, vous vous connectez à la console avec les autorisations de chaque utilisateur. Au fur et à mesure que vous accordez des autorisations en tant que Compte AWS propriétaire et que vous testez des autorisations en tant qu'IAMutilisateur, vous devez vous connecter et vous déconnecter, en utilisant à chaque fois des informations d'identification différentes. Vous pouvez effectuer ce test dans un seul navigateur, mais le processus sera accéléré si vous pouvez utiliser deux navigateurs différents. Utilisez un navigateur pour vous connecter à l' AWS Management Console aide de vos Compte AWS informations d'identification et un autre navigateur pour vous connecter aux informations IAM d'identification de l'utilisateur.

Pour vous connecter à l' AWS Management Console aide de vos Compte AWS informations d'identification, rendez-vous sur https://console.aws.amazon.com/. Un IAM utilisateur ne peut pas se connecter en utilisant le même lien. Un IAM utilisateur doit utiliser une page de IAM connexion activée. En tant que propriétaire du compte, vous pouvez fournir ce lien à vos utilisateurs.

Pour plus d'informationsIAM, consultez la page de AWS Management Console connexion dans le guide de l'IAMutilisateur.

Pour fournir un lien de connexion aux utilisateurs IAM

Étape 1 : Créer un compartiment

Au cours de cette étape, vous vous connectez à la console Amazon S3 avec vos Compte AWS informations d'identification, vous créez un compartiment, vous y ajoutez des dossiers et vous chargez un ou deux exemples de documents dans chaque dossier.

Étape 2 : Création d'IAMutilisateurs et d'un groupe

Utilisez maintenant la IAMconsole pour ajouter deux IAM utilisateurs, Alice et Bob, à votre Compte AWS. Pour step-by-step obtenir des instructions, reportez-vous à la section Création IAM d'un utilisateur Compte AWS dans votre guide de l'IAMutilisateur.

Créez également un groupe administratif nomméConsultants. Ajoutez ensuite les deux utilisateurs au groupe. Pour step-by-step obtenir des instructions, consultez la section Création de groupes IAM d'utilisateurs.

Pour step-by-step obtenir des instructions relatives à la création d'un nouvel IAM utilisateur, reportez-vous à la section Création IAM d'un utilisateur Compte AWS dans votre guide de l'IAMutilisateur. Lorsque vous créez les utilisateurs pour cette procédure, sélectionnez Accès àAWS Management Console et désactivez l'option Accès par programmation.

Pour step-by-step obtenir des instructions sur la création d'un groupe administratif, consultez la section Création de votre premier utilisateur et de votre premier groupe d'IAMadministrateurs dans le guide de IAM l'utilisateur.

Étape 3 : vérifier que IAM les utilisateurs n'ont aucune autorisation

Si vous utilisez deux navigateurs, vous pouvez désormais utiliser le second navigateur pour vous connecter à la console à l'aide de l'un des identifiants IAM utilisateur.

À présent, vous pouvez commencer octroyer des autorisations incrémentielles aux utilisateurs. En premier lieu, vous attacherez une stratégie de groupe octroyant les autorisations que les deux utilisateurs doivent posséder.

Étape 4 : Octroyer des autorisations au niveau du groupe

Vous voulez que les utilisateurs soient en mesure d'effectuer les tâches suivantes :

À présent, vous allez créer une stratégie qui octroie ces autorisations, puis vous l'attacherez au groupe Consultants.

Étape 4.1 : Octroyer l'autorisation de répertorier tous les compartiments

Dans cette étape, vous allez créer une stratégie gérée qui octroie aux utilisateurs les autorisations minimales leur permettant de répertorier tous les compartiments détenus par le compte parent. Vous attacherez ensuite cette stratégie au groupe Consultants. Lorsque vous attachez la stratégie gérée à un utilisateur ou à un groupe, vous accordez à cet utilisateur ou à ce groupe l'autorisation d'obtenir la liste des compartiments détenus par le parent Compte AWS.

Étape 4.2 : Permettre aux utilisateurs de répertorier le contenu de niveau racine d'un compartiment

Ensuite, autorisez tous les utilisateurs du groupe Consultants à répertorier les éléments de niveau racine du compartiment companybucket. Lorsqu'un utilisateur choisit le compartiment de l'entreprise dans la console Amazon S3, il peut voir les éléments de niveau racine figurant dans le compartiment.

Pour comprendre la demande que la console envoie à Amazon S3 lorsque vous choisissez un nom de compartiment, la réponse renvoyée par Amazon S3 et la façon dont la console interprète la réponse, examinez le flux d'un peu plus près.

Lorsque vous choisissez un nom de compartiment, la console envoie la demande de GETcompartiment (objets de liste) à Amazon S3. Cette demande inclut les paramètres suivants :

Voici un exemple de demande.

GET ?prefix=&delimiter=/ HTTP/1.1 
Host: companybucket.s3.amazonaws.com
Date: Wed, 01 Aug  2012 12:00:00 GMT
Authorization: AWS AKIAIOSFODNN7EXAMPLE:xQE0diMbLRepdf3YB+FIEXAMPLE=

Amazon S3 retourne une réponse qui inclut l'élément <ListBucketResult/>.

<ListBucketResult xmlns="http://s3.amazonaws.com/doc/2006-03-01/">
  <Name>companybucket</Name>
  <Prefix></Prefix>
  <Delimiter>/</Delimiter>
   ...
  <Contents>
    <Key>s3-dg.pdf</Key>
    ...
  </Contents>
  <CommonPrefixes>
    <Prefix>Development/</Prefix>
  </CommonPrefixes>
  <CommonPrefixes>
    <Prefix>Finance/</Prefix>
  </CommonPrefixes>
  <CommonPrefixes>
    <Prefix>Private/</Prefix>
  </CommonPrefixes>
</ListBucketResult>

L'objet de clé s3-dg.pdf ne contient pas la barre oblique (/) comme délimiteur et Amazon S3 retourne la clé dans l'élément <Contents>. Toutefois, toutes les autres clés dans notre exemple de compartiment contiennent le délimiteur /. Amazon S3 regroupe ces clés et renvoie un élément <CommonPrefixes> pour chacune des valeurs de préfixe distinctes Development/, Finance/ et Private/ qui est une sous-chaîne du début de ces clés jusqu'à la première occurrence du délimiteur / spécifié.

La console interprète ce résultat et affiche les éléments de niveau racine sous la forme de trois dossiers et d'une clé d'objet.

Si Bob ou Alice ouvre le dossier Development, la console envoie la demande GETBucket (List Objects) à Amazon S3 avec prefix les delimiter paramètres définis sur les valeurs suivantes :

En réponse à cela, Amazon S3 renvoie les clés d'objet qui commencent par le préfixe spécifié.

<ListBucketResult xmlns="http://s3.amazonaws.com/doc/2006-03-01/">
  <Name>companybucket</Name>
  <Prefix>Development</Prefix>
  <Delimiter>/</Delimiter>
   ...
  <Contents>
    <Key>Project1.xls</Key>
    ...
  </Contents>
  <Contents>
    <Key>Project2.xls</Key>
    ...
  </Contents> 
</ListBucketResult>

La console affiche les clés d'objet.

A présent, revenez à l'octroi aux utilisateurs d'une autorisation pour répertorier les éléments de niveau racine du compartiment. Pour répertorier le contenu du compartiment, les utilisateurs ont besoin d'une autorisation pour appeler l'action s3:ListBucket, telle qu'illustrée dans la déclaration de stratégie ci-dessous. Pour s'assurer qu'ils ne voient que le contenu de niveau racine, vous ajoutez une condition stipulant que les utilisateurs doivent spécifier un paramètre prefix vide dans la demande (c'est-à-dire qu'ils ne sont pas autorisés à double-cliquer sur les dossiers de niveau racine). Enfin, vous ajoutez une condition pour exiger un accès de type dossier en exigeant que les demandes des utilisateurs incluent le paramètre delimiter avec la valeur « / ».

{
  "Sid": "AllowRootLevelListingOfCompanyBucket",
  "Action": ["s3:ListBucket"],
  "Effect": "Allow",
  "Resource": ["arn:aws:s3:::companybucket"],
  "Condition":{ 
         "StringEquals":{
             "s3:prefix":[""], "s3:delimiter":["/"]
                        }
              }
}

Lorsque vous choisissez un compartiment sur la console Amazon S3, la console envoie d'abord la demande d'emplacement du GET compartiment pour savoir Région AWS où le compartiment est déployé. La console utilise ensuite le point de terminaison spécifique à la région pour que le bucket envoie la demande GETBucket (List Objects). Par conséquent, si les utilisateurs doivent utiliser la console, vous devez octroyer l'autorisation pour l'action s3:GetBucketLocation telle qu'illustrée dans la déclaration de stratégie suivante.

{
   "Sid": "RequiredByS3Console",
   "Action": ["s3:GetBucketLocation"],
   "Effect": "Allow",
   "Resource": ["arn:aws:s3:::*"]
}

Ce test réussit lorsque les utilisateurs utilisent la console Amazon S3. Lorsque vous choisissez sur un compartiment dans la console, l'implémentation de la console envoie une demande qui inclut le paramètre prefix avec une chaîne vide comme valeur et le paramètre delimiter avec la valeur « / ».

Étape 4.3 : Récapitulatif de la stratégie de groupe

L'effet net de la politique de groupe que vous avez ajoutée est d'accorder aux IAM utilisateurs Alice et Bob les autorisations minimales suivantes :

Toutefois, les utilisateurs ont une marge de manœuvre encore limitée. Vous octroyez ensuite des autorisations spécifiques à l'utilisateur, comme suit :

Dans le cadre des autorisations spécifiques à l'utilisateur, vous attachez une stratégie à un utilisateur spécifique et non pas au groupe. Dans la section suivante, vous octroyez à Alice l'autorisation de travailler dans le dossier Development. Vous pouvez répéter cette procédure pour octroyer une autorisation similaire à Bob pour lui permettre de travailler dans le dossier Finance.

Étape 5 : accorder à IAM l'utilisateur Alice des autorisations spécifiques

À présent, vous octroyez des autorisations supplémentaires à Alice pour qu'elle puisse voir le contenu du dossier Development, ainsi qu'obtenir et placer des objets dans ce dossier.

Étape 5.1 : accorder à IAM l'utilisateur Alice l'autorisation de répertorier le contenu du dossier de développement

Pour qu'Alice répertorie le contenu du Development dossier, vous devez appliquer à l'utilisateur Alice une politique qui autorise l's3:ListBucketaction sur le companybucket compartiment, à condition que la demande inclut le préfixeDevelopment/. Vous voulez que cette stratégie soit appliquée uniquement à l'utilisateur Alice. Vous devez donc une stratégie en ligne. Pour plus d'informations sur les politiques intégrées, voir Politiques gérées et politiques intégrées dans le Guide de l'IAMutilisateur.

Étape 5.2 : Accorder à IAM l'utilisateur Alice l'autorisation d'obtenir et de placer des objets dans le dossier de développement

Pour qu'Alice puisse obtenir et placer des objets dans le dossier Development, elle a besoin d'une autorisation pour appeler les actions s3:GetObject et s3:PutObject. Les déclarations de stratégie suivantes octroient ces autorisations, à condition que la demande inclue le paramètre prefix avec la valeur Development/.

{
    "Sid":"AllowUserToReadWriteObjectData",
    "Action":["s3:GetObject", "s3:PutObject"],
    "Effect":"Allow",
    "Resource":["arn:aws:s3:::companybucket/Development/*"]
 }

Étape 5.3 : Refuser explicitement à IAM l'utilisateur Alice l'autorisation d'accéder à tout autre dossier du bucket

L'utilisateur Alice peut à présent répertorier le contenu de niveau racine dans le compartiment companybucket. Elle peut également obtenir et placer des objets dans le dossier Development. Si vous souhaitez réellement renforcer les autorisations d'accès, vous pouvez refuser explicitement à Alice l'accès aux autres dossiers du compartiment. S'il existe une autre politique (politique de compartiment ouACL) qui accorde à Alice l'accès à tout autre dossier du compartiment, ce refus explicite annule ces autorisations.

Vous pouvez ajouter la déclaration suivante à la stratégie de l'utilisateur Alice. Elle exige que toutes les demandes envoyées par Alice à Amazon S3 incluent le paramètre prefix, dont la valeur peut être Development/* ou une chaîne vide.

{
   "Sid": "ExplicitlyDenyAnyRequestsForAllOtherFoldersExceptDevelopment",
   "Action": ["s3:ListBucket"],
   "Effect": "Deny",
   "Resource": ["arn:aws:s3:::companybucket"],
   "Condition":{  "StringNotLike": {"s3:prefix":["Development/*",""] },
                  "Null"         : {"s3:prefix":false }
    }
}

Deux expressions conditionnelles figurent dans le bloc Condition. Les résultats de ces expressions conditionnelles sont associés à l'aide du AND logique. Si les deux conditions son vraies, le résultat de la combinaison combinée est vrai (true). Comme Effect dans cette stratégie est défini sur Deny, lorsque la Condition a la valeur true, les utilisateurs ne peuvent pas effectuer l'Action spécifiée.

Suivez les étapes de la section précédente et mettez à jour à nouveau la stratégie en ligne que vous avez créée pour l'utilisateur Alice.

Copiez la stratégie suivante et collez-la dans le champ de texte de la stratégie pour remplacer la stratégie existante.

{
   "Version": "2012-10-17",
   "Statement":[
      {
         "Sid":"AllowListBucketIfSpecificPrefixIsIncludedInRequest",
         "Action":["s3:ListBucket"],
         "Effect":"Allow",
         "Resource":["arn:aws:s3:::companybucket"],
         "Condition":{
            "StringLike":{"s3:prefix":["Development/*"]
            }
         }
      },
      {
        "Sid":"AllowUserToReadWriteObjectDataInDevelopmentFolder", 
        "Action":["s3:GetObject", "s3:PutObject"],
        "Effect":"Allow",
        "Resource":["arn:aws:s3:::companybucket/Development/*"]
      },
      {
         "Sid": "ExplicitlyDenyAnyRequestsForAllOtherFoldersExceptDevelopment",
         "Action": ["s3:ListBucket"],
         "Effect": "Deny",
         "Resource": ["arn:aws:s3:::companybucket"],
         "Condition":{  "StringNotLike": {"s3:prefix":["Development/*",""] },
                        "Null"         : {"s3:prefix":false }
          }
      }
   ]
}

Étape 6 : Accorder à IAM l'utilisateur Bob des autorisations spécifiques

À présent, vous voulez accorder à Bob une autorisation sur le dossier Finance. Suivez la procédure que vous avez utilisée précédemment pour accorder des autorisations à Alice, mais remplacez le dossier Development par le dossier Finance. Pour step-by-step obtenir des instructions, voirÉtape 5 : accorder à IAM l'utilisateur Alice des autorisations spécifiques.

Étape 7 : Sécuriser le dossier Private

Dans cet exemple, vous n'avez que deux utilisateurs. Vous avez accordé toutes les autorisations minimales requises au niveau du groupe et accordé des autorisations au niveau de l'utilisateur seulement lorsque ces autorisations étaient réellement requises au niveau d'un utilisateur individuel. Cette approche aide à réduire au maximum l'effort de gestion des autorisations. Lorsque le nombre d'utilisateurs augmente, la gestion des autorisations peut devenir fastidieuse. Par exemple, vous ne voulez pas que les utilisateurs de cet exemple accèdent au contenu du dossier Private. Comment vous assurer que vous n'accordez pas accidentellement à un utilisateur l'autorisation d'accéder au Private dossier ? Vous devez ajouter une stratégie qui refuse explicitement l'accès à ce dossier. Un refus explicite a priorité sur toutes les autres autorisations.

Pour vous assurer que le dossier Private reste privé, vous pouvez ajouter les deux déclarations de refus suivantes à la stratégie de groupe :

Remplacez la stratégie de groupe Consultants par une stratégie mise à jour qui inclut les déclarations de refus précédentes. Après l'application de la stratégie mise à jour, aucun des utilisateurs du groupe ne peut accéder au dossier Private de votre compartiment.

Étape 8 : Nettoyage

Pour nettoyer, ouvrez la IAMconsole et supprimez les utilisateurs Alice et Bob. Pour step-by-step obtenir des instructions, reportez-vous à la section Suppression IAM d'un utilisateur dans le guide de IAM l'utilisateur.

Pour vous assurer que le stockage ne vous est plus facturé, vous devez également supprimer les objets et le compartiment que vous avez créés pour cet exercice.

Ressources connexes