Contoh 2: Pemilik bucket yang memberikan izin bucket lintas akun

1. Pastikan Anda memiliki dua Akun AWS dan bahwa setiap akun memiliki satu pengguna administrator seperti yang ditunjukkan pada tabel di bagian sebelumnya.

   1. Mendaftar untuk Akun AWS, jika perlu.

   2. Dengan menggunakan kredensial Akun A, masuk ke Konsol IAM untuk membuat pengguna administrator:

      1. Buat pengguna AccountAadmin dan catat kredenSIAL keamanan. Untuk instruksi, lihat Membuat Pengguna IAM dalam Akun AWS Anda, dalam Panduan Pengguna IAM.

      2. Berikan hak administrator AccountAadmin dengan melampirkan kebijakan pengguna yang memberikan akses penuh. Untuk instruksi, lihat Bekerja dengan Kebijakan dalam Panduan Pengguna IAM.

   3. Saat Anda berada di konsol IAM, perhatikan Sign-In URL pengguna IAM di Dasbor. Semua pengguna di akun tersebut harus menggunakan URL ini saat masuk ke Konsol Manajemen AWS.

      Untuk informasi lebih lanjut, lihat Cara Pengguna Masuk ke Akun Anda dalam Panduan Pengguna IAM.

   4. Ulangi langkah sebelumnya dengan menggunakan kredensial Akun B dan buat pengguna administrator AccountBadmin.

2. Siapkan AWS Command Line Interface (AWS CLI) atau AWS Tools for Windows PowerShell. Pastikan Anda menyimpan kredentif pengguna administrator sebagai berikut:

   • Jika menggunakan AWS CLI, buat dua profil, AccountAadmin danAccountBadmin, dalam file konfigurasi.

   • Jika menggunakan AWS Tools for Windows PowerShell, pastikan Anda menyimpan kredenSIAL untuk sesi sebagai AccountAadmin danAccountBadmin.

   Untuk petunjuk, lihat Menyiapkan alat untuk penelusuran.

3. Simpan kredensial pengguna administrator, juga disebut sebagai profil. Anda dapat menggunakan nama profil alih-alih menentukan kredensial untuk setiap perintah yang Anda masukkan. Untuk informasi selengkapnya, lihat Menyiapkan alat untuk penelusuran.

   1. Tambahkan profil dalam file AWS CLI kredenSIAL untuk masing-masing pengguna administrator, AccountAadmin danAccountBadmin, di dua akun.

      [AccountAadmin]
      aws_access_key_id = access-key-ID
      aws_secret_access_key = secret-access-key
      region = us-east-1
      
      [AccountBadmin]
      aws_access_key_id = access-key-ID
      aws_secret_access_key = secret-access-key
      region = us-east-1

   2. Jika Anda menggunakan AWS Tools for Windows PowerShell, jalankan perintah berikut.

      set-awscredentials –AccessKey AcctA-access-key-ID –SecretKey AcctA-secret-access-key –storeas AccountAadmin
      set-awscredentials –AccessKey AcctB-access-key-ID –SecretKey AcctB-secret-access-key –storeas AccountBadmin

1. Pada konsol Amazon S3, buat bucket. Latihan ini mengasumsikan bucket dibuat di AS Timur (Virginia Utara) Wilayah AWS dan diberi namaamzn-s3-demo-bucket.

   Untuk petunjuk, lihat Membuat bucket tujuan umum.

2. Unggah objek sampel ke bucket.

   Untuk instruksi, buka Langkah 2: Unggah objek ke bucket Anda.

1. Melampirkan kebijakan bucket berikut untuk amzn-s3-demo-bucket. Kebijakan tersebut memberikan izin Akun B untuk tindakan s3:GetLifecycleConfiguration dan s3:ListBucket.

   Untuk petunjuk, lihat Menambahkan kebijakan bucket dengan menggunakan konsol Amazon S3.

   JSON

   {
      "Version":"2012-10-17",
      "Statement": [
         {
            "Sid": "Example permissions",
            "Effect": "Allow",
            "Principal": {
               "AWS": "arn:aws:iam::111122223333:root"
            },
            "Action": [
               "s3:GetLifecycleConfiguration",
               "s3:ListBucket"
            ],
            "Resource": [
               "arn:aws:s3:::amzn-s3-demo-bucket"
            ]
         }
      ]
   }
   

2. Verifikasi bahwa Akun B (dan dengan demikian pengguna administratornya) dapat melakukan operasi.

   • Verifikasi menggunakan AWS CLI

     aws s3 ls s3://amzn-s3-demo-bucket --profile AccountBadmin
     aws s3api get-bucket-lifecycle-configuration --bucket amzn-s3-demo-bucket --profile AccountBadmin

   • Verifikasi menggunakan AWS Tools for Windows PowerShell

     get-s3object -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBadmin 
     get-s3bucketlifecycleconfiguration -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBadmin

Uji izin menggunakan AWS CLI

1. Tambahkan UserDave profil ke file AWS CLI konfigurasi. Untuk informasi lebih lanjut tentang file config, lihat Menyiapkan alat untuk penelusuran.

   [profile UserDave]
   aws_access_key_id = access-key
   aws_secret_access_key = secret-access-key
   region = us-east-1

2. Pada prompt perintah, masukkan AWS CLI perintah berikut untuk memverifikasi Dave sekarang bisa mendapatkan daftar objek dari akun amzn-s3-demo-bucket milik A. Perhatikan perintah menentukan UserDave profil.

   aws s3 ls s3://amzn-s3-demo-bucket --profile UserDave

   Dave tidak memiliki izin lain. Jadi, jika dia mencoba operasi lainnya—misalnya, get-bucket-lifecycle konfigurasi berikutnya—Amazon S3 mengembalikan izin yang ditolak.

   aws s3api get-bucket-lifecycle-configuration --bucket amzn-s3-demo-bucket --profile UserDave

Uji izin menggunakan AWS Tools for Windows PowerShell

1. Simpan kredensial Dave sebagai AccountBDave.

   set-awscredentials -AccessKey AccessKeyID -SecretKey SecretAccessKey -storeas AccountBDave

2. Coba perintah Cantumkan bucket.

   get-s3object -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBDave

   Dave tidak memiliki izin lain. Jadi, jika dia mencoba operasi lain—misalnya, berikut ini get-s3bucketlifecycleconfiguration —Amazon S3 mengembalikan izin yang ditolak.

   get-s3bucketlifecycleconfiguration -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBDave

1. Setelah selesai pengujian, Anda dapat melakukan hal berikut untuk membersihkan:

   1. Masuk ke Konsol Manajemen AWS (Konsol Manajemen AWS) menggunakan kredenSIAL Akun A, dan lakukan hal berikut:

      • Pada konsol Amazon S3, hapus kebijakan bucket yang terlampir pada amzn-s3-demo-bucket. Dalam bucket Properti, hapus kebijakan yang ada dalam bagian Izin.

      • Jika bucket dibuat untuk latihan ini, pada konsol Amazon S3, hapus objek dan kemudian hapus bucket.

      • Di Konsol IAM, hapus AccountAadmin pengguna.

2. Masuk ke Konsol IAM menggunakan kredenSIAL Akun B. Hapus penggunaAccountBadmin. Untuk petunjuk langkah demi langkah, lihat Menghapus pengguna IAM di Panduan Pengguna IAM.