Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Menyiapkan Browser Penyimpanan untuk S3

Untuk menghubungkan pengguna akhir dengan lokasi Amazon S3, Anda harus terlebih dahulu menyiapkan metode otentikasi dan otorisasi. Ada tiga metode untuk mengatur metode otentikasi dan otorisasi dengan Storage Browser:

Metode 1: Mengelola akses data untuk pelanggan dan mitra pihak ketiga

Dengan metode ini, Anda dapat menggunakan AWS Amplify Auth untuk mengelola kontrol akses dan keamanan untuk file. Metode ini sangat ideal ketika Anda ingin menghubungkan pelanggan atau mitra pihak ketiga dengan data di S3. Dengan opsi ini, pelanggan Anda dapat melakukan otentikasi menggunakan penyedia identitas sosial atau perusahaan.

Anda memberikan kredentif IAM kepada pengguna akhir dan mitra pihak ketiga menggunakan AWS Amplify Auth dengan bucket S3 yang dikonfigurasi untuk menggunakan Amplify Storage. AWS Amplify Auth dibangun di atas Amazon Cognito, layanan manajemen akses dan identitas pelanggan yang dikelola sepenuhnya di mana Anda dapat mengotentikasi dan mengotorisasi pengguna dari direktori pengguna bawaan atau direktori perusahaan, atau dari penyedia identitas konsumen. Model otorisasi Amplify mendefinisikan awalan mana yang dapat diakses oleh pengguna yang diautentikasi saat ini. Untuk informasi selengkapnya tentang cara mengatur otorisasi untuk AWS Amplify, lihat Mengatur penyimpanan.

Untuk menginisialisasi komponen dengan metode otentikasi dan penyimpanan Amplify, tambahkan cuplikan kode berikut ke aplikasi web Anda:

import {
  createAmplifyAuthAdapter,
  createStorageBrowser,
} from '@aws-amplify/ui-react-storage/browser';
import "@aws-amplify/ui-react-storage/styles.css";

import config from './amplify_outputs.json';

Amplify.configure(config);

export const { StorageBrowser } = createStorageBrowser({
  config: createAmplifyAuthAdapter(),
});

Metode 2: Mengelola akses data untuk prinsipal IAM Anda untuk AWS akun

Jika Anda ingin mengelola akses untuk prinsipal IAM Anda atau Akun AWS secara langsung, Anda dapat membuat peran IAM yang memiliki izin untuk memanggil operasi API S3. GetDataAccess Untuk menyiapkannya, Anda harus membuat instance S3 Access Grants untuk memetakan izin untuk bucket tujuan umum S3 dan awalan ke identitas IAM yang ditentukan. Komponen Storage Browser (yang harus dipanggil di sisi klien setelah mendapatkan kredenSIAL IAM) kemudian akan memanggil operasi ListCallerAccessGrants S3 API untuk mengambil hibah yang tersedia kepada pemohon identitas dan mengisi lokasi di komponen. Setelah Anda mendapatkan s3:GetDataAccess izin, kredenSIAL tersebut kemudian digunakan oleh komponen Storage Browser untuk meminta akses data ke S3.

import {
  createManagedAuthAdapter,
  createStorageBrowser,
} from '@aws-amplify/ui-react-storage/browser';
import "@aws-amplify/ui-react-storage/styles.css";

export const { StorageBrowser } = createStorageBrowser({
  config: createManagedAuthAdapter({
    credentialsProvider: async (options?: { forceRefresh?: boolean }) => {
      // return your credentials object
      return {
        credentials: {
          accessKeyId: 'my-access-key-id',
          secretAccessKey: 'my-secret-access-key',
          sessionToken: 'my-session-token',
          expiration: new Date()
        },
      }
    },
    // AWS `region` and `accountId`
    region: '',
    accountId: '',
    // call `onAuthStateChange` when end user auth state changes 
    // to clear sensitive data from the `StorageBrowser` state
    registerAuthListener: (onAuthStateChange) => {},
  })
});

Metode 3: Mengelola akses data dalam skala besar

Jika Anda ingin mengaitkan instance S3 Access Grants ke Pusat Identitas IAM Anda untuk solusi yang lebih skalabel (seperti menyediakan akses data ke seluruh perusahaan Anda), Anda dapat meminta data dari Amazon S3 atas nama pengguna yang diautentikasi saat ini. Misalnya, Anda dapat memberikan grup pengguna di direktori perusahaan Anda akses ke data Anda di S3. Pendekatan ini memungkinkan Anda mengelola izin S3 Access Grants secara terpusat untuk pengguna dan grup Anda, termasuk yang dihosting di penyedia eksternal seperti Microsoft Entra, Okta, dan lainnya.

Saat menggunakan metode ini, integrasi dengan Pusat Identitas IAM memungkinkan Anda untuk menggunakan direktori pengguna yang ada. Manfaat lain dari propagasi identitas terpercaya IAM Identity Center adalah bahwa setiap peristiwa AWS CloudTrail data untuk Amazon S3 berisi referensi langsung ke identitas pengguna akhir yang mengakses data S3.

Jika Anda memiliki aplikasi yang mendukung OAuth 2.0 dan pengguna Anda memerlukan akses dari aplikasi ini ke AWS layanan, sebaiknya gunakan propagasi identitas tepercaya. Dengan propagasi identitas tepercaya, pengguna dapat masuk ke aplikasi, dan aplikasi tersebut dapat meneruskan identitas pengguna dalam permintaan apa pun yang mengakses data dalam AWS layanan. Aplikasi ini berinteraksi dengan Pusat Identitas IAM atas nama pengguna yang diautentikasi. Untuk informasi selengkapnya, lihat Menggunakan propagasi identitas tepercaya dengan aplikasi yang dikelola pelanggan.

Propagasi identitas tepercaya adalah AWS IAM Identity Center fitur yang Layanan AWS dapat digunakan administrator yang terhubung untuk memberikan dan mengaudit akses ke data layanan. Akses ke data ini didasarkan pada atribut pengguna seperti asosiasi grup. Menyiapkan propagasi identitas tepercaya memerlukan kolaborasi antara administrator yang terhubung Layanan AWS dan administrator Pusat Identitas IAM. Untuk informasi selengkapnya, lihat Pras yarat dan pertimbangan.

Pengaturan

Untuk mengatur otentikasi Browser Penyimpanan Konsol Manajemen AWS menggunakan S3 Access Grants dan propagasi identitas terpercaya IAM Identity Center, aplikasi Anda harus meminta data dari Amazon S3 atas nama pengguna yang diautentikasi saat ini. Dengan pendekatan ini, Anda dapat memberikan pengguna atau grup pengguna dari direktori perusahaan Anda akses langsung ke bucket, awalan, atau objek S3 Anda. Ini berarti bahwa aplikasi Anda tidak perlu memetakan pengguna apa pun ke prinsipal IAM.

Alur kerja berikut menguraikan langkah-langkah untuk menyiapkan Storage Browser untuk S3, menggunakan IAM Identity Center dan S3 Access Grants:

Aktifkan Pusat Identitas IAM untuk AWS Organizations

Untuk mengaktifkan Pusat Identitas IAM untuk Anda AWS Organizations, lakukan langkah-langkah berikut:

AWS Organizations secara otomatis mengirim email verifikasi ke alamat yang terkait dengan akun manajemen Anda. Mungkin ada waktu tunda sebelum Anda menerima email verifikasi. Pastikan untuk memverifikasi alamat email Anda dalam waktu 24 jam, sebelum email verifikasi Anda kedaluwarsa.

Konfigurasi AWS Identity and Access Management Federasi Pusat Identitas

Untuk menggunakan Storage Browser untuk S3 dengan pengguna direktori perusahaan, Anda harus mengonfigurasi Pusat Identitas IAM untuk menggunakan penyedia identitas eksternal (IdP). Anda dapat menggunakan penyedia identitas pilihan Anda. Namun, perlu diketahui bahwa setiap penyedia identitas menggunakan pengaturan konfigurasi yang berbeda. Untuk tutorial menggunakan penyedia identitas eksternal yang berbeda, lihat tutorial sumber Pusat Identitas IAM.

Tambahkan penerbit token tepercaya di AWS Identity and Access Management Konsol Pusat Identitas

Penerbit token tepercaya mewakili penyedia identitas eksternal Anda di Pusat AWS Identity and Access Management Identitas, dan mengenali token untuk pengguna yang diautentikasi aplikasi Anda. Pemilik akun instans Pusat Identitas IAM di Anda AWS Organizations harus melakukan langkah-langkah ini. Langkah-langkah ini dapat dilakukan baik di konsol IAM Identity Center, atau secara terprogram.

Untuk menambahkan penerbit token tepercaya di konsol AWS Identity and Access Management Identity Center, lakukan langkah-langkah berikut:

Buat peran IAM untuk aplikasi bootstrap dan pembawa identitas

Untuk memastikan bahwa bootstrap aplikasi dan identity bearer pengguna dapat bekerja dengan benar satu sama lain, pastikan untuk membuat dua peran IAM. Satu peran IAM diperlukan untuk bootstrap aplikasi dan peran IAM lainnya harus digunakan untuk pembawa identitas, atau pengguna akhir yang mengakses aplikasi web yang meminta akses melalui S3 Access Grants. bootstrapAplikasi menerima token yang dikeluarkan oleh penyedia identitas dan memanggil CreateTokenWithIAM API, menukar token ini dengan yang dikeluarkan oleh Pusat Identitas.

Buat peran IAM, sepertibootstrap-role, dengan izin seperti berikut ini. Contoh kebijakan IAM berikut memberikan izin bootstrap-role untuk melakukan pertukaran token:

{
    "Version": "2012-10-17",
    "Statement": [{
        "Action": [
            "sso-oauth:CreateTokenWithIAM",
        ],
        "Resource": "arn:${Partition}:sso::${AccountId}:application/${InstanceId}/${ApplicationId}",
        "Effect": "Allow"
    },
    {
        "Action": [
            "sts:AssumeRole",
            "sts:SetContext"
        ],
        "Resource": "arn:aws:iam::${AccountId}:role/identity-bearer-role",
        "Effect": "Allow"
    }]
}

Kemudian, buat peran IAM kedua (sepertiidentity-bearer-role), yang digunakan broker identitas untuk menghasilkan kredenSIAL IAM. KredenSIAL IAM yang dikembalikan dari broker identitas ke aplikasi web digunakan oleh komponen Browser Penyimpanan untuk S3 untuk memungkinkan akses ke data S3:

{
    "Action": [
        "s3:GetDataAccess",
        "s3:ListCallerAccessGrants",
    ],
    "Resource": "arn:${Partition}:s3:${Region}:${Account}:access-grants/default",
    "Effect": "Allow"
} 

Peran IAM ini (identity-bearer-role) harus menggunakan kebijakan kepercayaan dengan pernyataan berikut:

{
   "Effect": "Allow",
   "Principal": {
      "AWS": "arn:${Partition}:iam::${Account}:role/${RoleNameWithPath}"
   },
   "Action": [
       "sts:AssumeRole",
       "sts:SetContext"
   ]
}

Membuat dan mengkonfigurasi aplikasi Anda di Pusat Identitas IAM

Untuk membuat dan mengonfigurasi aplikasi yang dikelola pelanggan di Pusat Identitas AWS IAM, lakukan langkah-langkah berikut:

Setelah menyiapkan aplikasi, pengguna dapat mengakses aplikasi Anda dari dalam portal AWS akses mereka berdasarkan kumpulan izin yang telah Anda buat dan akses pengguna yang telah Anda tetapkan.

Tambahkan S3 Access Grants sebagai aplikasi tepercaya untuk propagasi identitas

Setelah menyiapkan aplikasi yang dikelola pelanggan, Anda harus menentukan S3 Access Grants untuk propagasi identitas. S3 Access Grants menjual kredenSIAL bagi pengguna untuk mengakses data Amazon S3. Saat Anda masuk ke aplikasi yang dikelola pelanggan, S3 Access Grants akan meneruskan identitas pengguna Anda ke aplikasi tepercaya.

Prasyarat: Pastikan Anda telah menyiapkan S3 Access Grants (seperti membuat instance S3 Access Grants dan mendaftarkan lokasi) sebelum mengikuti langkah-langkah ini. Untuk informasi selengkapnya, lihat Memulai dengan S3 Access Grants.

Untuk menambahkan S3 Access Grants untuk propagasi identitas ke aplikasi yang dikelola pelanggan Anda, lakukan langkah-langkah berikut:

Membuat hibah untuk pengguna atau grup

Pada langkah ini, Anda menggunakan Pusat Identitas IAM untuk menyediakan pengguna Anda. Anda dapat menggunakan SCIM untuk penye diaan pengguna dan grup secara otomatis atau manual. SCIM menjaga identitas Pusat Identitas IAM Anda sinkron dengan identitas dari penyedia identitas (IdP) Anda. Ini termasuk penyediaan, pembaruan, dan penghapusan penyediaan pengguna antara IdP dan Pusat Identitas IAM Anda.

Untuk menyinkronkan pengguna dari penyedia identitas Anda dengan Pusat Identitas IAM, lakukan langkah-langkah berikut:

Untuk contoh cara mengatur penyedia identitas dengan Pusat Identitas IAM untuk kasus penggunaan spesifik Anda, lihat tutorial sumber Identitas Pusat Identitas IAM.

Buat Browser Penyimpanan Anda untuk komponen S3

Setelah menyiapkan instance IAM Identity Center dan membuat hibah di S3 Access Grants, buka aplikasi React Anda. Dalam aplikasi React, gunakan createManagedAuthAdapter untuk mengatur aturan otorisasi. Anda harus memberikan penyedia kredenSIAL untuk mengembalikan kredenSIAL yang Anda peroleh dari Pusat Identitas IAM. Anda kemudian dapat memanggil createStorageBrowser untuk menginisialisasi Browser Penyimpanan untuk komponen S3:

import {
    createManagedAuthAdapter,
    createStorageBrowser,
} from '@aws-amplify/ui-react-storage/browser';
import '@aws-amplify/ui-react-storage/styles.css';

export const { StorageBrowser } = createStorageBrowser({
   config: createManagedAuthAdapter({
    credentialsProvider: async (options?: { forceRefresh?: boolean }) => {
      // return your credentials object
      return {
        credentials: {
          accessKeyId: 'my-access-key-id',
          secretAccessKey: 'my-secret-access-key',
          sessionToken: 'my-session-token',
          expiration: new Date(),
        },
      }
    },
    // AWS `region` and `accountId` of the S3 Access Grants Instance.
    region: '',
    accountId: '',
    // call `onAuthStateChange` when end user auth state changes 
    // to clear sensitive data from the `StorageBrowser` state
    registerAuthListener: (onAuthStateChange) => {},
  })
});

Kemudian, buat mekanisme untuk menukar token web JSON (JWT) dari aplikasi web Anda dengan kredenSIAL IAM dari Pusat Identitas IAM. Untuk informasi selengkapnya tentang cara menukar JWT, lihat sumber daya berikut:

Kemudian, siapkan titik akhir API untuk menangani permintaan pengambilan kredenSIAL. Untuk memvalidasi pertukaran token web JSON (JWT), lakukan langkah-langkah berikut:

Untuk menukar token web JSON penyedia identitas dengan kreden AWS sional IAM, lakukan langkah-langkah berikut: