Minta akses ke data Amazon S3 melalui S3 Access Grants

Setelah Anda membuat hibah akses menggunakan S3 Access Grants, penerima hibah dapat meminta kredenSIAL untuk mengakses data S3 yang mereka berikan akses. Penerima hibah dapat berupa kepala AWS Identity and Access Management sekolah (IAM), identitas direktori perusahaan Anda, atau aplikasi resmi.

Aplikasi atau Layanan AWS dapat menggunakan operasi GetDataAccess API S3 Access Grants untuk meminta akses S3 Access Grants ke data S3 Anda atas nama penerima hibah. GetDataAccesspertama memverifikasi bahwa Anda telah memberikan akses identitas ini ke data. Kemudian, S3 Access Grants menggunakan operasi AssumeRole API untuk mendapatkan token kredensia sementara dan menjualnya kepada pemohon. Token kredensial sementara ini adalah token AWS Security Token Service (AWS STS).

Permintaan GetDataAccess harus menyertakan parameter target, yang menentukan ruang lingkup data S3 yang berlaku untuk kredensial sementara. Ruang target lingkup ini bisa sama dengan ruang lingkup hibah atau bagian dari ruang lingkup itu, tetapi ruang target lingkup harus berada dalam ruang lingkup hibah yang diberikan kepada penerima hibah. Permintaan juga harus menentukan permission parameter untuk menunjukkan tingkat izin untuk kredensial sementara, apakah READ, WRITE, atau READWRITE.

Keistimewaan

Pemohon dapat menentukan tingkat hak istimewa token sementara dalam permintaan kredensialnya. Dengan menggunakan parameter privilege, pemohon dapat mengurangi atau meningkatkan ruang lingkup akses kredensial sementara, dalam batas-batas ruang lingkup pemberian. Nilai default privilege parameter adalahDefault, yang berarti bahwa cakupan target dari kredenSIAL yang dikembalikan adalah cakupan hibah asli. Nilai lain yang mungkin untuk privilege adalah Minimal. Jika ruang lingkup target dikurangi dari ruang lingkup pemberian asli, maka kredensial sementara dihilangkan cakupannya agar sesuai dengan ruang lingkup target, selama ruang lingkup berada dalam ruang lingkup target pemberian.

Tabel berikut merinci efek parameter privilege pada dua pemberian. Satu pemberian memiliki ruang lingkup S3://amzn-s3-demo-bucket1/bob/*, yang mencakup seluruh bob/ prefiks dalam bucket amzn-s3-demo-bucket1. Hibah lainnya memiliki ruang lingkup S3://amzn-s3-demo-bucket1/bob/reports/*, yang hanya mencakup bob/reports/ prefiks di dalam bucket amzn-s3-demo-bucket1.

Identitas direktori

GetDataAccessmempertimbangkan semua identitas yang terlibat dalam permintaan ketika mencocokkan hibah yang sesuai. Untuk identitas direktori perusahaan, GetDataAccess juga mengembalikan pemberian identitas IAM yang digunakan untuk sesi sadar identitas. Untuk informasi selengkapnya tentang sesi sadar identitas, lihat Mem berikan izin untuk menggunakan sesi konsol sadar identitas di Panduan Pengguna. AWS Identity and Access Management GetDataAccessmenghasilkan kredenSIAL yang membatasi ruang lingkup ke hibah yang paling ketat, seperti yang ditunjukkan pada tabel berikut:

Durasi

Parameter durationSeconds menetapkan durasi kredensial sementara, dalam hitungan detik. Nilai default adalah 3600 detik (1 jam), tetapi pemohon (penerima pemberian) dapat menentukan rentang dari 900 detik (15 menit) hingga 43200 detik (12 jam). Jika penerima pemberian meminta nilai yang lebih tinggi dari maksimum ini, permintaan gagal.

Contoh

Anda dapat meminta kredentif sementara dengan menggunakan AWS Command Line Interface (AWS CLI), API REST Amazon S3, dan AWS SDK. Lihat contoh-contoh ini.

Untuk informasi tambahan, lihat Refer GetDataAccess ensi API Layanan Penyimpanan Sederhana Amazon.

aws s3control get-data-access \
--account-id 111122223333 \
--target s3://amzn-s3-demo-bucket/prefixA* \
--permission READ \
--privilege Default \
--region us-east-2

{
"Credentials": {
"AccessKeyId": "Example-key-id",
"SecretAccessKey": "Example-access-key",
"SessionToken": "Example-session-token",
"Expiration": "2023-06-14T18:56:45+00:00"},
"MatchedGrantTarget": "s3://amzn-s3-demo-bucket/prefixA**",
"Grantee": {
    "GranteeType": "IAM",
    "GranteeIdentifier": "arn:aws:iam::111122223333:role/role-name"
 }
}