Contoh 1: Pemilik bucket yang memberikan izin bucket kepada penggunanya

1. Pastikan Anda memiliki Akun AWS dan bahwa ia memiliki pengguna dengan hak administrator.

   1. Mendaftar untuk Akun AWS, jika perlu. Kami menyebut akun ini sebagai Akun A.

      1. Buka https://aws.amazon.com/s3 dan pilih Buat AWS akun.

      2. Ikuti petunjuk di layar.

         AWS akan memberi tahu Anda melalui email ketika akun Anda aktif dan tersedia untuk Anda gunakan.

   2. Di Akun A, buat pengguna administratorAccountAadmin. Menggunakan kredensial Akun A, masuklah ke Konsol IAM dan lakukan hal-hal berikut ini:

      1. Buat pengguna AccountAadmin dan catat kredenSIAL keamanan pengguna.

         Untuk petunjuk, lihat Membuat pengguna IAM di Akun AWS dalam Panduan Pengguna IAM.

      2. Berikan hak administrator AccountAadmin dengan melampirkan kebijakan pengguna yang memberikan akses penuh.

         Untuk instruksi, lihat Mengelola kebijakan IAM dalam Panduan Pengguna IAM.

      3. Perhatikan Sign-In URL pengguna IAM untuk AccountAadmin. Anda perlu menggunakan URL ini saat masuk ke Konsol Manajemen AWS. Untuk informasi selengkapnya tentang tempat menemukan URL masuk, lihat Mas uk ke Konsol Manajemen AWS sebagai pengguna IAM di Panduan Pengguna IAM. Perhatikan URL untuk setiap akun.

2. Siapkan baik AWS CLI atau AWS Tools for Windows PowerShell. Pastikan Anda menyimpan kredentif pengguna administrator sebagai berikut:

   • Jika menggunakan AWS CLI, buat profil,AccountAadmin, di file konfigurasi.

   • Jika menggunakan AWS Tools for Windows PowerShell, pastikan Anda menyimpan kredenSIAL untuk sesi sebagaiAccountAadmin.

   Untuk petunjuk, lihat Menyiapkan alat untuk penelusuran.

1. Membuat sumber daya dari bucket dan pengguna IAM

   1. Pada konsol Amazon S3, buat bucket. Perhatikan Wilayah AWS tempat Anda membuat bucket. Untuk petunjuk, lihat Membuat bucket tujuan umum.

   2. Di Konsol IAM, lakukan hal berikut:

      1. Buat pengguna bernama Dave.

         Untuk petunjuk langkah demi langkah, lihat Membuat pengguna IAM (konsol) di Panduan Pengguna IAM.

      2. Perhatikan UserDave kredensialnya.

      3. Perhatikan Nama Sumber Daya Amazon (ARN) untuk pengguna Dave. Di Konsol IAM, pilih pengguna, dan tab Ring kasan menyediakan ARN pengguna.

2. Berikan izin.

   Karena pemilik bucket dan akun induk yang dimiliki pengguna adalah sama, pengguna Akun AWS dapat memberikan izin pengguna menggunakan kebijakan bucket, kebijakan pengguna, atau keduanya. Dalam contoh ini, Anda melakukan keduanya. Jika objek juga dimiliki oleh akun yang sama, maka pemilik bucket dapat memberikan izin objek dalam kebijakan bucket (atau kebijakan IAM).

   1. Di konsol Amazon S3, lampirkan kebijakan bucket berikut keawsexamplebucket1.

      Kebijakan ini memiliki dua pernyataan.

      • Pernyataan pertama memberikan izin operasi bucket s3:GetBucketLocation dan s3:ListBucket kepada Dave.

      • Pernyataan kedua memberikan izin kepada s3:GetObject. Karena Akun A juga memiliki objek, administrator akun dapat memberikan izin kepada s3:GetObject.

      Pada pernyataan Principal, Dave diidentifikasi oleh pengguna ARN-nya. Untuk informasi lebih lanjut tentang elemen-elemen kebijakan, lihat Kebijakan dan izin di Amazon S3.

      JSON

      {
          "Version":"2012-10-17",
          "Statement": [
              {
                  "Sid": "statement1",
                  "Effect": "Allow",
                  "Principal": {
                      "AWS": "arn:aws:iam::111122223333:user/Dave"
                  },
                  "Action": [
                      "s3:GetBucketLocation",
                      "s3:ListBucket"
                  ],
                  "Resource": [
                      "arn:aws:s3:::awsexamplebucket1"
                  ]
              },
              {
                  "Sid": "statement2",
                  "Effect": "Allow",
                  "Principal": {
                      "AWS": "arn:aws:iam::111122223333:user/Dave"
                  },
                  "Action": [
                      "s3:GetObject"
                  ],
                  "Resource": [
                      "arn:aws:s3:::awsexamplebucket1/*"
                  ]
              }
          ]
      }
      

   2. Buat kebijakan yang selaras untuk pengguna Dave, dengan menggunakan kebijakan berikut. Kebijakan tersebut memberikan izin s3:PutObject kepada Dave. Anda perlu memperbarui kebijakan dengan memberikan nama bucket Anda.

      JSON

      {
         "Version":"2012-10-17",
         "Statement": [
            {
               "Sid": "PermissionForObjectOperations",
               "Effect": "Allow",
               "Action": [
                  "s3:PutObject"
               ],
               "Resource": [
                  "arn:aws:s3:::awsexamplebucket1/*"
               ]
            }
         ]
      }
      

      Untuk petunjuk, lihat M engelola IAMPolicies di Panduan Pengguna IAM. Perlu diperhatikan bahwa Anda perlu masuk ke konsol dengan menggunakan kredensial Akun A.

Uji izin menggunakan AWS CLI

1. Perbarui file AWS CLI konfigurasi dengan menambahkan UserDaveAccountA profil berikut. Untuk informasi selengkapnya, lihat Menyiapkan alat untuk penelusuran.

   [profile UserDaveAccountA]
   aws_access_key_id = access-key
   aws_secret_access_key = secret-access-key
   region = us-east-1

2. Verifikasi bahwa Dave dapat melakukan operasi sebagaimana yang diberikan dalam kebijakan pengguna. Unggah objek sampel menggunakan AWS CLI put-object perintah berikut.

   Parameter --body dalam perintah mengidentifikasi file sumber yang akan diunggah. Misalnya, jika file berada di root drive C: pada Windows mesin, Anda tentukanc:\HappyFace.jpg. Parameter --key menyediakan nama kunci untuk objek.

   aws s3api put-object --bucket awsexamplebucket1 --key HappyFace.jpg --body HappyFace.jpg --profile UserDaveAccountA

   Jalankan AWS CLI perintah berikut untuk mendapatkan objek.

   aws s3api get-object --bucket awsexamplebucket1 --key HappyFace.jpg OutputFile.jpg --profile UserDaveAccountA

Uji izin menggunakan AWS Tools for Windows PowerShell

1. Simpan kredensial Dave sebagai AccountADave. Anda kemudian menggunakan kredenSIAL ini untuk PUT dan GET objek.

   set-awscredentials -AccessKey AccessKeyID -SecretKey SecretAccessKey -storeas AccountADave

2. Unggah objek sampel menggunakan AWS Tools for Windows PowerShell Write-S3Object perintah menggunakan kredensional pengguna Dave yang disimpan.

   Write-S3Object -bucketname awsexamplebucket1 -key HappyFace.jpg -file HappyFace.jpg -StoredCredentials AccountADave

   Unduh objek yang telah diunggah sebelumnya.

   Read-S3Object -bucketname awsexamplebucket1 -key HappyFace.jpg -file Output.jpg -StoredCredentials AccountADave