Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

AWS Identity and Access Management (IAM) untuk S3 Express One Zone

AWS Identity and Access Management (IAM) adalah sebuah Layanan AWS yang membantu administrator mengontrol akses ke sumber daya dengan aman. AWS Administrator IAM mengendalikan siapa saja yang dapat diautentikasi (masuk) dan diizinkan (memiliki izin) untuk menggunakan sumber daya Amazon S3 di S3 Express One Zone. Anda dapat menggunakan IAM tanpa biaya tambahan.

Secara default, pengguna tidak memiliki izin untuk bucket direktori dan operasi S3 Express One Zone. Untuk memberikan izin akses bagi bucket direktori, Anda dapat menggunakan IAM untuk membuat pengguna, grup, atau peran dan melampirkan izin ke identitas tersebut. Untuk informasi selengkapnya tentang IAM, lihat Praktik terbaik keamanan di IAM di Panduan Pengguna IAM.

Untuk memberikan akses, Anda dapat menambahkan izin ke pengguna, grup, atau peran Anda melalui cara berikut:

Secara default, bucket direktori bersifat pribadi dan hanya dapat diakses oleh pengguna yang secara eksplisit diberikan akses. Batas kontrol akses untuk bucket direktori hanya diatur pada tingkat bucket. Sebaliknya, batas kontrol akses untuk bucket tujuan umum dapat diatur pada tingkat bucket, prefiks, atau tag objek. Perbedaan ini berarti bucket direktori adalah satu-satunya sumber daya yang dapat Anda sertakan dalam kebijakan bucket atau kebijakan identitas IAM untuk akses S3 Express One Zone.

Dengan S3 Express One Zone, selain otorisasi IAM, Anda mengautentikasi dan mengotorisasi permintaan melalui mekanisme berbasis sesi baru yang ditangani oleh operasi API CreateSession. Anda dapat menggunakan CreateSession untuk meminta kredensial sementara yang menyediakan akses latensi rendah ke bucket Anda. Kredensial sementara ini dicakup ke bucket direktori tertentu.

Untuk bekerja denganCreateSession, kami sarankan menggunakan versi terbaru dari AWS SDK atau menggunakan AWS Command Line Interface (AWS CLI). AWS SDK yang didukung dan pembentukan sesi AWS CLI penanganan, penyegaran, dan penghentian atas nama Anda.

Anda menggunakan token sesi dengan operasi Zona (tingkat objek) saja (kecuali untuk CopyObject danHeadBucket) untuk mendistribusikan latensi yang terkait dengan otorisasi atas sejumlah permintaan dalam sesi. Untuk operasi API titik akhir Regional (operasi tingkat bucket), Anda menggunakan otorisasi IAM, yang tidak melibatkan pengelolaan sesi. Lihat informasi yang lebih lengkap di AWS Identity and Access Management (IAM) untuk S3 Express One Zone dan CreateSessionotorisasi.

Untuk informasi tentang pengaturan IAM untuk S3 Express One Zone, lihat topik berikut.

Pengguna utama

Saat membuat kebijakan berbasis sumber daya untuk memberikan akses ke bucket, Anda harus menggunakan elemen Principal tersebut untuk menentukan orang atau aplikasi yang dapat membuat permintaan tindakan atau operasi pada sumber daya tersebut. Untuk kebijakan bucket direktori, Anda dapat menggunakan pengguna utama berikut:

Untuk informasi selengkapnya, lihat Principal dalam Panduan Pengguna IAM.

Sumber daya

Nama Sumber Daya Amazon (ARN) untuk bucket direktori berisi s3express namespace, ID AWS akun Wilayah AWS, dan nama bucket direktori, yang menyertakan ID Availability Zone. Untuk mengakses dan melakukan tindakan pada bucket direktori Anda, Anda harus menggunakan format ARN berikut ini:

arn:aws:s3express:region:account-id:bucket/base-bucket-name--azid--x-s3

Untuk informasi selengkapnya tentang ARN, lihat Amazon Resource Names (ARNs) dalam Panduan Pengguna IAM. Untuk informasi selengkapnya tentang sumber daya, lihat Elemen Kebijakan JSON IAM: Resource dalam Panduan Pengguna IAM.

Tindakan untuk S3 Express One Zone

Dalam kebijakan berbasis identitas atau kebijakan berbasis sumber daya IAM, Anda menentukan tindakan S3 yang diizinkan atau ditolak. Tindakan S3 Express One Zone sesuai dengan operasi API tertentu. S3 Express One Zone memiliki namespace IAM unik yang berbeda dari namespace standar untuk Amazon S3. Namespace ini adalah s3express.

Saat Anda memberikan izin s3express:CreateSession, ini memungkinkan operasi API CreateSession untuk mengambil token sesi saat mengakses operasi API (atau tingkat objek) titik akhir Zona. Token sesi ini mengembalikan kredensial yang digunakan untuk memberikan akses ke semua operasi API titik akhir Zona lainnya. Akibatnya, Anda tidak perlu memberikan izin akses ke operasi API Zona menggunakan kebijakan IAM. Sebagai gantinya, token sesi memungkinkan akses.

Untuk informasi selengkapnya tentang operasi API titik akhir Zona dan Regional, lihat Jaringan untuk S3 Express One Zone. Untuk mempelajari lebih lanjut tentang operasi API CreateSession, lihat CreateSession di Referensi API Amazon Simple Storage Service.

Anda dapat menyebutkan tindakan berikut dalam elemen Action pernyataan kebijakan IAM. Gunakan kebijakan untuk memberikan izin untuk melaksanakan operasi dalam AWS. Saat Anda menggunakan tindakan dalam kebijakan, Anda biasanya mengizinkan atau menolak akses ke operasi API dengan nama yang sama. Namun, dalam beberapa kasus, satu tindakan mengendalikan akses ke lebih dari satu operasi API. Akses ke tindakan tingkat bucket dapat diberikan hanya dalam kebijakan berbasis identitas IAM (pengguna atau peran) dan bukan kebijakan bucket.

Kunci syarat untuk S3 Express One Zone

S3 Express One Zone mendefinisikan kunci syarat berikut yang dapat digunakan dalam elemen Condition kebijakan IAM. Anda dapat menggunakan kunci ini untuk menyempurnakan syarat lebih lanjut saat pernyataan kebijakan berlaku.

Bagaimana operasi API diotorisasi dan diautentikasi

Tabel berikut mencantumkan informasi otorisasi dan autentikasi untuk operasi API S3 Express One Zone. Untuk setiap operasi API, tabel menunjukkan nama operasi API, tindakan IAM, jenis titik akhir (Regional atau Zona), dan mekanisme otorisasi (IAM atau berbasis sesi). Tabel ini juga menunjukkan tempat akses lintas akun didukung. Akses ke tindakan tingkat bucket dapat diberikan hanya dalam kebijakan berbasis identitas IAM (pengguna atau peran), bukan kebijakan bucket.