Contoh 4 - Pemilik bucket memberikan izin lintas akun ke objek yang tidak dimilikinya

Pastikan Anda memiliki tiga Akun AWS dan setiap akun memiliki satu pengguna administrator seperti yang ditunjukkan pada tabel di bagian sebelumnya.

1. Daftar untuk Akun AWS, sesuai kebutuhan. Kami menyebut akun ini sebagai Akun A, Akun B, dan Akun C.

2. Menggunakan kredensi Akun A, masuk ke IAMkonsol dan lakukan hal berikut untuk membuat pengguna administrator:

   • Buat pengguna AccountAadmin dan catat kredensi keamanannya. Untuk informasi selengkapnya tentang menambahkan pengguna, lihat Membuat IAM pengguna di Akun AWS di Panduan Pengguna IAM.

   • Berikan hak administrator AccountAadmindengan melampirkan kebijakan pengguna yang memberikan akses penuh. Untuk petunjuk, lihat Mengelola IAM kebijakan di Panduan IAM Pengguna.

   • Di Dasbor IAM Konsol, perhatikan IAMUser Sign-In URL. Pengguna di akun ini harus menggunakan ini URL saat masuk ke AWS Management Console. Untuk informasi selengkapnya, lihat Masuk ke AWS Management Console sebagai IAM pengguna di Panduan IAM Pengguna.

3. Ulangi langkah-langkah sebelumnya untuk membuat pengguna administrator di Akun B dan Akun C.

Untuk Akun C, catat ID pengguna kanonik.

Saat Anda membuat IAM peran di Akun A, kebijakan trust memberikan izin Akun C untuk mengambil peran dengan menentukan ID akun. Anda dapat menemukan informasi akun seperti berikut ini:

1. Gunakan Anda Akun AWS ID atau alias akun, nama IAM pengguna, dan kata sandi untuk masuk ke konsol Amazon S3.

2. Pilih nama bucket Amazon S3 untuk melihat detail tentang bucket tersebut.

3. Pilih tab Izin dan kemudian pilih Daftar Kontrol Akses.

4. Dalam Akses untuk Anda Akun AWSbagian, di kolom Akun adalah pengenal panjang, sepertic1daexampleaaf850ea79cf0430f33d72579fd1611c97f7ded193374c0b163b6. Ini adalah ID pengguna kanonis Anda.

Saat membuat kebijakan bucket, Anda akan memerlukan informasi berikut. Perhatikan nilai-nilai ini:

Mengatur salah satu AWS Command Line Interface (CLI) atau AWS Tools for Windows PowerShell. Pastikan Anda menyimpan kredensi pengguna administrator sebagai berikut:

Untuk petunjuk, silakan lihat Menyiapkan alat untuk penelusuran.

Buat bucket. Latihan ini mengasumsikan bahwa nama bucketnya adalah amzn-s3-demo-bucket1.

Untuk petunjuk, silakan lihat Buat bucket.

Lampirkan kebijakan bucket berikut. Kebijakan memberikan izin bersyarat kepada administrator Akun B untuk mengunggah objek.

Perbarui kebijakan dengan memberikan nilai Anda sendiri untuk amzn-s3-demo-bucket1AccountB-ID,, danCanonicalUserId-of-AWSaccountA-BucketOwner.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "111",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::AccountB-ID:user/AccountBadmin"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*"
        },
        {
            "Sid": "112",
            "Effect": "Deny",
            "Principal": {
                "AWS": "arn:aws:iam::AccountB-ID:user/AccountBadmin"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*",
            "Condition": {
                "StringNotEquals": {
                    "s3:x-amz-grant-full-control": "id=CanonicalUserId-of-AWSaccountA-BucketOwner"
                }
            }
        }
    ]
}

Sebelum membuat peran, siapkan kebijakan terkelola yang menentukan izin yang diperlukan oleh peran tersebut. Anda kemudian perlu melampirkan kebijakan ini ke peran tersebut pada langkah berikutnya.

1. Di panel navigasi di sebelah kiri, pilih Kebijakan, lalu pilih Buat Kebijakan.

2. Di sebelah Buat Kebijakan Anda Sendiri, pilih Pilih.

3. Masukkan access-accountA-bucket dalam kolom Nama Kebijakan.

4. Salin kebijakan akses berikut ini dan tempelkan ke kolom Dokumen Kebijakan. Kebijakan akses memberikan s3:GetObject izin peran sehingga, ketika pengguna Akun C mengambil peran, kebijakan tersebut hanya dapat melakukan operasi. s3:GetObject

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "s3:GetObject",
         "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*"
       }
     ]
   }

5. Pilih Buat Kebijakan.

   Kebijakan baru muncul di daftar kebijakan terkelola.

Di panel navigasi di sebelah kiri, pilih Peran dan kemudian pilih Buat Peran Baru.

Di bawah Pilih Jenis Peran, pilih Peran untuk Akses Lintas Akun, lalu pilih tombol Pilih di samping Menyediakan akses antara Akun AWS Anda sendiri.

Masukkan ID akun dari Akun C.

Untuk panduan ini, Anda tidak perlu meminta pengguna untuk memiliki otentikasi multi-faktor (MFA) untuk mengambil peran, jadi biarkan opsi itu tidak dipilih.

Pilih Langkah Berikutnya untuk mengatur izin yang akan dikaitkan dengan peran.

Pilih kotak centang di samping kebijakan Access-Accounta-bucket yang Anda buat, lalu pilih Langkah Berikutnya.

Halaman Tinjauan muncul sehingga Anda dapat mengonfirmasi pengaturan untuk peran tersebut sebelum dibuat. Satu item yang sangat penting untuk dicatat di halaman ini adalah tautan yang dapat Anda kirim kepada pengguna Anda yang perlu menggunakan peran ini. Pengguna yang menggunakan tautan langsung menuju halaman Switch Role dengan kolom Account ID dan Role Name yang sudah diisi. Anda juga dapat melihat tautan ini nanti di halaman Ringkasan Peran untuk peran lintas akun apa pun.

Masukkan examplerole nama peran, lalu pilih Langkah Berikutnya.

Setelah meninjau peran, pilih Buat Peran.

Peran examplerole ditampilkan dalam daftar peran.

Pilih nama peranexamplerole.

Pilih tab Hubungan Kepercayaan.

Pilih Tampilkan dokumen kebijakan dan verifikasi kebijakan kepercayaan yang ditampilkan cocok dengan kebijakan berikut.

Kebijakan kepercayaan berikut ini membangun kepercayaan terhadap Akun C, dengan memungkinkannya untuk melakukan tindakan sts:AssumeRole. Untuk informasi selengkapnya, silakan lihat AssumeRoledi AWS Security Token Service APIReferensi.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::AccountC-ID:root"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Perhatikan Amazon Resource Name (ARN) dari examplerole peran yang Anda buat.

Kemudian dalam langkah-langkah berikut, Anda melampirkan kebijakan pengguna untuk mengizinkan IAM pengguna mengambil peran ini, dan Anda mengidentifikasi peran berdasarkan ARN nilainya.

Menggunakan login IAM pengguna URL untuk Akun C, pertama masuk ke AWS Management Console sebagai AccountCadmin pengguna.

Di IAMkonsol, buat pengguna, Dave.

Untuk step-by-step petunjuk, lihat Membuat IAM pengguna (AWS Management Console) di Panduan IAM Pengguna.

Perhatikan kredensialnya Dave. Dave akan memerlukan kredensial ini untuk mengambil peran examplerole.

Buat kebijakan inline bagi IAM pengguna Dave untuk mendelegasikan sts:AssumeRole izin kepada Dave tentang peran di Akun A. examplerole

1. Pada panel navigasi di sebelah kiri, pilih Pengguna.

2. Pilih nama pengguna Dave.

3. Pada halaman rincian pengguna, pilih tab Izin dan kemudian perluas bagian Kebijakan Selaras.

4. Pilih klik di sini (atau Buat Kebijakan Pengguna).

5. Pilih Kebijakan Kustom, lalu pilih Pilihan.

6. Masukkan nama untuk kebijakan pada kolom Nama Kebijakan.

7. Salin kebijakan berikut ke kolom Dokumen Kebijakan.

   Anda harus memperbarui kebijakan dengan menyediakanAccountA-ID.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["sts:AssumeRole"],
         "Resource": "arn:aws:iam::AccountA-ID:role/examplerole"
       }
     ]
   }

8. Pilih Terapkan Kebijakan.

Simpan kredensi Dave ke file konfigurasi AWS CLI dengan menambahkan profil lain,AccountCDave.

[profile AccountCDave]
aws_access_key_id = UserDaveAccessKeyID
aws_secret_access_key = UserDaveSecretAccessKey
region = us-west-2

Pada prompt perintah, jalankan yang berikut AWS CLI assume-roleperintah menggunakan AccountCDave profil.

Anda harus memperbarui ARN nilai dalam perintah dengan memberikan di AccountA-ID mana examplerole didefinisikan.

aws sts assume-role --role-arn arn:aws:iam::AccountA-ID:role/examplerole --profile AccountCDave --role-session-name test

Sebagai tanggapan, AWS Security Token Service (AWS STS) mengembalikan kredensil keamanan sementara (ID kunci akses, kunci akses rahasia, dan token sesi).

Simpan kredensil keamanan sementara di AWS CLI file konfigurasi di bawah TempCred profil.

[profile TempCred]
aws_access_key_id = temp-access-key-ID
aws_secret_access_key = temp-secret-access-key
aws_session_token = session-token
region = us-west-2

Pada prompt perintah, jalankan yang berikut AWS CLI perintah untuk mengakses objek menggunakan kredensil sementara. Misalnya, perintah menentukan head-object API untuk mengambil metadata objek untuk objek. HappyFace.jpg

aws s3api get-object --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg SaveFileAs.jpg --profile TempCred

Karena kebijakan akses terlampir pada examplerole memungkinkan tindakan, Amazon S3 memproses permintaan. Anda dapat mencoba tindakan lain apa pun pada objek lain yang ada dalam bucket.

Jika Anda mencoba tindakan lain—misalnya, get-object-acl —Anda akan mendapatkan izin ditolak karena peran tersebut tidak diizinkan tindakan itu.

aws s3api get-object-acl --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg --profile TempCred

Kita menggunakan pengguna Dave untuk mengambil peran dan mengakses objek dengan menggunakan kredensial sementara. Ini juga bisa menjadi aplikasi di Akun C yang mengakses objek di amzn-s3-demo-bucket1. Aplikasi dapat memperoleh kredensial keamanan sementara, dan Akun C dapat mendelegasikan izin aplikasi untuk mengambil examplerole.

Setelah selesai melakukan pengujian, Anda dapat melakukan hal berikut untuk membersihkan:

1. Masuk ke AWS Management Consolemenggunakan kredensi Akun A, dan lakukan hal berikut:

   • Pada konsol Amazon S3, hapus kebijakan bucket yang terlampir pada amzn-s3-demo-bucket1. Dalam bucket Properti, hapus kebijakan yang ada dalam bagian Izin.

   • Jika bucket dibuat untuk latihan ini, pada konsol Amazon S3, hapus objek dan kemudian hapus bucket.

   • Di IAMKonsol, hapus yang examplerole Anda buat di Akun A. Untuk step-by-step petunjuk, lihat Menghapus IAM pengguna di Panduan IAM Pengguna.

   • Di IAMkonsol, hapus AccountAadminpengguna.

Masuk ke IAMKonsol menggunakan kredensyal Akun B. Hapus pengguna AccountBadmin.

Masuk ke IAMKonsol dengan menggunakan kredensyal Akun C. Hapus AccountCadmindan pengguna Dave.