Tutorial IAM: Delegasikan akses di seluruh AWS akun yang menggunakan peran IAM

Masuk ke Konsol Manajemen AWS sebagai administrator akun Origin ating, dan buka konsol IAM di https://console.aws.amazon.com/iam/.

Di konsol IAM, pilih nama pengguna Anda di bilah navigasi di kanan atas. Biasanya terlihat seperti ini: username @ account_ID_number_or_alias.

Untuk skenario ini, Anda dapat menggunakan ID akun 111111111111 untuk akun Origin. Namun, Anda harus menggunakan ID akun yang valid jika Anda menggunakan skenario ini di lingkungan pengujian Anda.

Masuk ke Konsol Manajemen AWS sebagai administrator akun Tujuan, dan buka konsol IAM.

Sebelum membuat peran, siapkan kebijakan terkelola yang mendefinisikan izin untuk persyaratan peran. Anda kemudian perlu melampirkan kebijakan ini ke peran tersebut pada langkah berikutnya.

Anda ingin mengatur akses baca dan tulis ke bucket amzn-s3-demo-bucket-shared-container. Meskipun AWS menyediakan beberapa kebijakan terkelola Amazon S3, tidak ada yang menyediakan akses baca dan tulis ke satu bucket Amazon S3. Anda dapat membuat kebijakan Anda sendiri.

Pada panel navigasi, silakan pilih Kebijakan dan kemudian pilih Buat kebijakan.

Pilih tab JSON dan salin teks dari dokumen kebijakan JSON berikut. Tempel teks ini ke dalam kotak teks JSON, ganti sumber daya ARN (arn:aws:s3:::shared-container) dengan yang asli untuk bucket Amazon S3 Anda.

T ListAllMyBuckets indakan memberikan izin untuk mencantumkan semua bucket yang dimiliki oleh pengirim permintaan yang diautentikasi. Izin ListBucket memungkinkan pengguna melihat objek dalam bucket amzn-s3-demo-bucket-shared-container. Izin GetObject, PutObject, DeleteObject memungkinkan pengguna melihat, memperbarui, dan menghapus konten di bucket amzn-s3-demo-bucket-shared-container.

Pada halaman Tinjau dan buat, read-write-app-bucket ketik nama kebijakan. Tinjau izin yang diberikan oleh kebijakan Anda, lalu pilih Buat kebijakan untuk menyimpan pekerjaan Anda.

Kebijakan baru muncul di daftar kebijakan terkelola.

Pada panel navigasi, silakan pilih Peran lalu pilih Buat peran.

Pilih jenis Akun AWS peran An.

Untuk ID Akun, ketik ID akun asal.

Tutorial ini menggunakan contoh ID akun 111111111111 untuk akun Origin. Anda harus menggunakan ID akun yang valid. Jika Anda menggunakan ID akun yang tidak valid, seperti 111111111111, IAM tidak mengizinkan Anda membuat peran baru.

Untuk saat ini, Anda tidak perlu memerlukan ID eksternal, atau mewajibkan pengguna untuk memiliki Multi-Factor Authentication (MFA) untuk menjalankan peran tersebut. Biarkan opsi ini tidak dipilih. Untuk informasi selengkapnya, lihat AWS Multi-factor otentikasi di IAM.

Pilih Berikutnya: Izin untuk mengatur izin yang terkait dengan peran.

Pilih kotak centang di sebelah kebijakan yang Anda buat sebelumnya.

Lalu, pilih Selanjutnya.

(Opsional) Tambahkan metadata ke peran dengan melampirkan tag sebagai pasangan kunci-nilai. Untuk informasi selengkapnya tentang menggunakan tanda di IAM, lihat Tag untuk AWS Identity and Access Management sumber daya.

(Opsional) Untuk Deskripsi, masukkan deskripsi untuk peran baru ini.

Setelah meninjau peran, klik Buat peran.

Peran UpdateData muncul di daftar peran.

Di panel navigasi konsol IAM, pilih Peran.

Dalam daftar peran, pilih peran UpdateData.

Di bagian Ringkasan di panel perincian, salin nilai ARN Peran.

Akun Tujuan memiliki ID akun 999999999999, jadi peran ARN adalah. arn:aws:iam::999999999999:role/UpdateData Pastikan Anda memberikan Akun AWS ID asli untuk akun Tujuan.

Masuk sebagai administrator di akun Originating, dan buka konsol IAM.

Pilih Per an, lalu pilih Peng embang.

Pilih tab Permissions (Izin), pilih Add permissions (Tambahkan izin), lalu pilih Create inline policy (Membuat kebijakan inline).

Pilih tab JSON.

Tambahkan pernyataan kebijakan berikut untuk mengiz AssumeRole inkan tindakan pada UpdateData peran di akun Tujuan. Pastikan bahwa Anda mengubah DESTINATION-ACCOUNT-ID Resource elemen ke Akun AWS ID aktual dari akun Tujuan.

AllowEfek ini secara eksplisit memungkinkan akses grup Pengembang ke UpdateData peran di akun Tujuan. Setiap pengembang yang mencoba mengakses peran berhasil.

Pilih Tinjau kebijakan.

Ketik Nama sepertiallow-assume-S3-role-in-destination.

Pilih Buat kebijakan.

Pilih Per an, lalu pilih Analis.

Pilih tab Permissions (Izin), pilih Add permissions (Tambahkan izin), lalu pilih Create inline policy (Membuat kebijakan inline).

Pilih tab JSON.

Tambahkan pernyataan kebijakan berikut untuk menolak tindakan AssumeRole di peran UpdateData. Pastikan bahwa Anda mengubah DESTINATION-ACCOUNT-ID Resource elemen ke Akun AWS ID aktual dari akun Tujuan.

DenyEfek secara eksplisit menolak akses grup Analis ke UpdateData peran di akun Tujuan. Setiap analis yang mencoba mengakses peran menerima pesan akses ditolak.

Pilih Tinjau kebijakan.

Ketik Nama sepertideny-assume-S3-role-in-destination.

Pilih Buat kebijakan.

David masuk Konsol Manajemen AWS menggunakan pengguna normalnya di akun Origining.

Mereka memilih tautan yang dikirim oleh administrator melalui email kepada mereka. Ini membawa David ke halaman Switch Role dengan ID akun atau alias dan informasi nama peran yang sudah diisi.

— atau —

David memilih nama mereka (menu Identitas) di bilah navigasi, dan kemudian memilih Ber alih Peran.

Jika ini adalah pertama kalinya David mencoba mengakses halaman Switch Role dengan cara ini, dia pertama kali mendarat di halaman Switch Role yang dijalankan pertama kali. Halaman ini memberikan informasi tambahan tentang bagaimana pengalihan peran dapat memungkinkan pengguna mengelola sumber daya di seluruh Akun AWS. David harus memilih Beralih Peran di halaman ini untuk menyelesaikan sisa prosedur ini.

Selanjutnya, untuk mengakses peran, David harus secara manual mengetikkan nomor ID akun Tujuan (999999999999) dan nama peran (UpdateData).

Selain itu, David ingin memantau peran dan izin terkait yang saat ini aktif di IAM. Untuk melacak informasi ini, dia mengetik Destination di kotak teks Display Nama (Nama Tampilan), memilih opsi warna merah, lalu memilih Switch Role (Alihkan Peran).

Sekarang, David dapat menggunakan konsol Amazon S3 untuk bekerja menggunakan bucket Amazon S3 atau sumber daya lain yang peran UpdateDatanya memiliki izin.

Setelah selesai, David dapat kembali ke izin aslinya. Untuk melakukan itu, mereka memilih nama tampilan peran Tujuan pada bilah navigasi dan kemudian memilih Kem bali ke David @ 111111111111.

Lain kali David ingin beralih peran dan memilih menu Identitas di bilah navigasi, dia melihat entri Tujuan masih ada dari terakhir kali. Dia cukup memilih entri itu untuk beralih peran segera tanpa memasukkan kembali ID akun dan nama peran.

David membuka jendela command prompt, dan mengonfirmasi bahwa AWS CLI klien bekerja dengan menjalankan perintah:

aws help

Dia memulai proses peralihan peran dengan menjalankan perintah berikut untuk beralih ke UpdateData peran di akun Tujuan. Dia menerima peran ARN dari administrator yang menciptakan peran tersebut. Perintah ini mengharuskan Anda memberikan nama sesi, Anda juga dapat memilih teks apa pun yang Anda suka untuk itu.

aws sts assume-role --role-arn "arn:aws:iam::999999999999:role/UpdateData" --role-session-name "David-ProdUpdate"

David kemudian melihat hal-hal berikut di output:

{
    "Credentials": {
        "SecretAccessKey": "wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY",
        "SessionToken": "AQoDYXdzEGcaEXAMPLE2gsYULo+Im5ZEXAMPLEeYjs1M2FUIgIJx9tQqNMBEXAMPLE
CvSRyh0FW7jEXAMPLEW+vE/7s1HRpXviG7b+qYf4nD00EXAMPLEmj4wxS04L/uZEXAMPLECihzFB5lTYLto9dyBgSDy
EXAMPLE9/g7QRUhZp4bqbEXAMPLENwGPyOj59pFA4lNKCIkVgkREXAMPLEjlzxQ7y52gekeVEXAMPLEDiB9ST3Uuysg
sKdEXAMPLE1TVastU1A0SKFEXAMPLEiywCC/Cs8EXAMPLEpZgOs+6hz4AP4KEXAMPLERbASP+4eZScEXAMPLEsnf87e
NhyDHq6ikBQ==",
        "Expiration": "2014-12-11T23:08:07Z",
        "AccessKeyId": "AKIAIOSFODNN7EXAMPLE"
    }
}

David melihat tiga bagian yang mereka butuhkan di bagian Credentials dari output.

David perlu mengkonfigurasi AWS CLI lingkungan untuk menggunakan parameter ini dalam panggilan berikutnya. Untuk informasi tentang berbagai cara mengonfigurasi kredensial Anda, lihat Mengonfigurasi AWS Command Line Interface. Anda tidak dapat menggunakan perintah aws configure karena ia tindak mendukung perekaman token sesi. Namun, Anda dapat memasukkan informasi secara manual ke dalam file konfigurasi. Karena ini adalah kredensial sementara dengan waktu kedaluwarsa yang relatif singkat, paling mudah menambahkannya ke lingkungan sesi baris perintah Anda saat ini.

Untuk menambahkan tiga nilai ke lingkungan, David memotong dan menempelkan output langkah sebelumnya ke perintah berikutnya. Anda mungkin ingin memotong dan menempel ke dalam editor teks sederhana untuk mengatasi masalah line wrap dalam output token sesi. Ia harus ditambahkan sebagai satu string panjang, meskipun line wrap ditampilkan di sini untuk kejelasan.

Contoh berikut menunjukkan perintah yang diberikan di lingkungan Windows, di mana “set” adalah perintah untuk membuat variabel lingkungan. Di komputer Linux atau macOS, Anda akan menggunakan perintah “ekspor” sebagai gantinya. Semua bagian contoh lainnya valid di ketiga lingkungan.

Untuk detail tentang menggunakan Tools untuk Windows Powershell, lihat Beralih ke peran IAM (Alat untuk Windows PowerShell)

set AWS_ACCESS_KEY_ID=AKIAIOSFODNN7EXAMPLE
set AWS_SECRET_ACCESS_KEY=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
set AWS_SESSION_TOKEN=AQoDYXdzEGcaEXAMPLE2gsYULo+Im5ZEXAMPLEeYjs1M2FUIgIJx9tQqNMBEXAMPLECvS
Ryh0FW7jEXAMPLEW+vE/7s1HRpXviG7b+qYf4nD00EXAMPLEmj4wxS04L/uZEXAMPLECihzFB5lTYLto9dyBgSDyEXA
MPLEKEY9/g7QRUhZp4bqbEXAMPLENwGPyOj59pFA4lNKCIkVgkREXAMPLEjlzxQ7y52gekeVEXAMPLEDiB9ST3UusKd
EXAMPLE1TVastU1A0SKFEXAMPLEiywCC/Cs8EXAMPLEpZgOs+6hz4AP4KEXAMPLERbASP+4eZScEXAMPLENhykxiHen
DHq6ikBQ==

Pada titik ini, setiap perintah berikut dijalankan di bawah izin peran yang diidentifikasi oleh kredensial tersebut. Dalam kasus David, peran UpdateData.

Jalankan perintah untuk mengakses sumber daya di akun Tujuan. Dalam contoh ini, David mencantumkan isi bucket S3 mereka dengan perintah berikut.

aws s3 ls s3://shared-container

Karena nama bucket Amazon S3 unik secara universal, tidak perlu menentukan ID akun yang memiliki bucket. Untuk mengakses sumber daya untuk AWS layanan lain, lihat AWS CLI dokumentasi untuk layanan tersebut untuk perintah dan sintaks yang diperlukan untuk mereferensikan sumber dayanya.

David memanggil AssumeRole sebagai bagian dari aplikasi. Mereka harus menentukan AR UpdateData N:arn:aws:iam::999999999999:role/UpdateData.

Respond dari panggilan AssumeRole mencakup kredensial sementara dengan AccessKeyId dan SecretAccessKey. Informasi ini juga mencakup waktu Expiration yang menunjukkan kapan kredensial kedaluwarsa dan Anda harus meminta yang baru. Saat Anda mengatur rantai peran dengan AWS SDK, banyak penyedia kredensia secara otomatis menyegarkan kredensi sebelum kedaluwarsa.

Dengan kredensial sementara, David membuat panggilan s3:PutObject untuk memperbarui bucket amzn-s3-demo-bucket-shared-container. Mereka akan meneruskan kredenSIAL ke panggilan API sebagai AuthParams parameter. Karena kredentif peran sementara hanya memiliki akses baca dan tulis ke amzn-s3-demo-bucket-shared-container bucket, tindakan lain di akun Tujuan ditolak.