Menyiapkan IAM dengan S3 di Outposts

AWS Identity and Access Management (IAM) adalah Layanan AWS yang membantu administrator mengontrol akses ke AWS sumber daya dengan aman. IAMadministrator mengontrol siapa yang dapat diautentikasi (masuk) dan diberi wewenang (memiliki izin) untuk menggunakan Amazon S3 pada sumber daya Outposts. IAMadalah Layanan AWS yang dapat Anda gunakan tanpa biaya tambahan. Secara default, pengguna tidak memiliki izin untuk sumber daya dan operasi S3 di Outposts. Untuk memberikan izin akses untuk S3 pada sumber daya dan API operasi Outposts, Anda dapat menggunakan IAM untuk membuat pengguna, grup, atau peran dan melampirkan izin.

Untuk memberikan akses, menambahkan izin ke pengguna, grup, atau peran Anda:

Selain kebijakan IAM berbasis identitas, S3 on Outposts mendukung kebijakan bucket dan access point. Kebijakan bucket dan titik akses adalah kebijakan berbasis sumber daya yang dilampirkan ke sumber daya S3 di Outposts.

Kebijakan titik akses bekerja dengan kebijakan bucket yang dilampirkan pada bucket yang mendasari S3 di Outposts. Agar aplikasi atau pengguna dapat mengakses objek di bucket S3 di Outposts melalui titik akses S3 di Outposts, kebijakan titik akses dan kebijakan bucket harus mengizinkan permintaan tersebut.

Pembatasan yang Anda sertakan dalam kebijakan titik akses hanya berlaku untuk permintaan yang dibuat melalui titik akses tersebut. Misalnya, jika titik akses dilampirkan ke bucket, Anda tidak dapat menggunakan kebijakan titik akses untuk mengizinkan atau menolak permintaan yang dibuat langsung ke bucket. Namun, pembatasan yang Anda terapkan pada kebijakan bucket dapat mengizinkan atau menolak permintaan yang dibuat langsung ke bucket atau melalui titik akses.

Dalam IAM kebijakan atau kebijakan berbasis sumber daya, Anda menentukan tindakan S3 pada Outposts mana yang diizinkan atau ditolak. S3 pada tindakan Outposts sesuai dengan S3 tertentu pada API operasi Outposts. Tindakan S3 di Outposts menggunakan prefiks namespace s3-outposts:. Permintaan yang dibuat ke API kontrol S3 on Outposts dalam dan permintaan Wilayah AWS yang dibuat ke titik akhir API objek di Outpost diautentikasi dengan IAM menggunakan dan diotorisasi terhadap awalan namespace. s3-outposts: Untuk bekerja dengan S3 di Outposts, konfigurasikan pengguna IAM Anda dan otorisasi mereka terhadap namespace. s3-outposts: IAM

Untuk informasi lebih lanjut, lihat Tindakan, sumber daya, dan kunci syarat untuk Amazon S3 di Outposts di Referensi Otorisasi Layanan.

Untuk informasi selengkapnya tentang pengaturan IAM untuk S3 di Outposts, lihat topik berikut.

Pengguna utama kebijakan S3 di Outposts

Saat membuat kebijakan berbasis sumber daya untuk memberikan akses ke bucket S3 di Outposts, Anda harus menggunakan elemen Principal tersebut untuk menentukan orang atau aplikasi yang dapat membuat permintaan tindakan atau operasi pada sumber daya tersebut. Untuk kebijakan S3 di Outposts, Anda dapat menggunakan salah satu pengguna utama berikut:

Untuk informasi selengkapnya tentang Principal elemen, lihat elemen AWS JSON kebijakan: Principal dalam Panduan IAM Pengguna.

Sumber daya ARNs untuk S3 di Outposts

Amazon Resource Names (ARNs) untuk S3 di Outposts berisi ID Outpost selain Wilayah AWS tempat Outpost berada, ID, Akun AWS dan nama resource. Untuk mengakses dan melakukan tindakan pada bucket dan objek Outposts Anda, Anda harus menggunakan salah satu ARN format yang ditunjukkan pada tabel berikut.

partitionNilai dalam ARN mengacu pada sekelompok Wilayah AWS. Masing-masing Akun AWS dicakup ke satu partisi. Berikut ini adalah partisi yang didukung:

Tabel berikut menunjukkan S3 pada format ARN Outposts.

Contoh kebijakan untuk S3 di Outposts

{
   "Version":"2012-10-17",
   "Id":"ExampleBucketPolicy1",
   "Statement":[
      {
         "Sid":"statement1",
         "Effect":"Allow",
         "Principal":{
            "AWS":"123456789012"
         },
         "Action":"s3-outposts:*",
         "Resource":"arn:aws:s3-outposts:region:123456789012:outpost/op-01ac5d28a6a232904/bucket/example-outposts-bucket"
      }
   ]
}

{
    "Version": "2012-10-17",
    "Id": "ExampleBucketPolicy2",
    "Statement": [
        {
            "Sid": "statement1",
            "Effect": "Allow",
            "Principal": { "AWS" : "*" },
            "Action":"s3-outposts:*",
            "Resource":"arn:aws:s3-outposts:region:123456789012:outpost/op-01ac5d28a6a232904/bucket/example-outposts-bucket",
            "Condition" : {
                "IpAddress" : {
                    "aws:SourceIp": "192.0.2.0/24" 
                },
                "NotIpAddress" : {
                    "aws:SourceIp": "198.51.100.0/24" 
                } 
            } 
        } 
    ]
} 

Izin untuk titik akhir S3 di Outposts

S3 di Outposts memerlukan izinnya sendiri untuk mengelola S3 IAM pada tindakan titik akhir Outposts.

Tabel berikut menunjukkan S3 tentang izin terkait titik akhir OutpostsIAM.

Peran yang ditautkan dengan layanan untuk S3 di Outposts

S3 di Outposts IAM menggunakan peran terkait layanan untuk membuat beberapa sumber daya jaringan atas nama Anda. Untuk informasi selengkapnya, lihat Menggunakan Peran Terkait Layanan untuk Amazon S3 di Outposts.