IAMtutorial: Delegasikan akses di seluruh AWS akun menggunakan IAM peran

Masuk ke AWS Management Console sebagai administrator akun Originating, dan buka IAM konsol di https://console.aws.amazon.com/iam/.

Di IAM konsol, pilih nama pengguna Anda di bilah navigasi di kanan atas. Itu terlihat seperti ini: username@account_ID_number_or_alias.

Untuk skenario ini, Anda dapat menggunakan ID akun 111111111111 untuk akun Originating. Namun, Anda harus menggunakan ID akun yang valid jika Anda menggunakan skenario ini di lingkungan pengujian Anda.

Masuk ke AWS Management Console sebagai administrator akun Tujuan, dan buka IAM konsol.

Sebelum membuat peran, siapkan kebijakan terkelola yang menentukan izin untuk persyaratan peran. Anda kemudian perlu melampirkan kebijakan ini ke peran tersebut pada langkah berikutnya.

Anda ingin mengatur akses baca dan tulis ke bucket amzn-s3-demo-bucket-shared-container. Meskipun AWS menyediakan beberapa kebijakan terkelola Amazon S3, tidak ada yang menyediakan akses baca dan tulis ke satu bucket Amazon S3. Anda dapat membuat kebijakan Anda sendiri.

Pada panel navigasi, silakan pilih Kebijakan dan kemudian pilih Buat kebijakan.

Pilih JSONtab dan salin teks dari dokumen JSON kebijakan berikut. Rekatkan teks ini ke dalam kotak JSONteks, ganti resource ARN (arn:aws:s3:::shared-container) dengan yang asli untuk bucket Amazon S3 Anda.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "s3:ListAllMyBuckets",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket",
        "s3:GetBucketLocation"
       ],
      "Resource": "arn:aws:s3:::amzn-s3-demo-bucket-shared-container"
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:PutObject",
        "s3:DeleteObject"
      ],
      "Resource": "arn:aws:s3:::amzn-s3-demo-bucket-shared-container/*"
    }
  ]
}

ListAllMyBucketsTindakan memberikan izin untuk mencantumkan semua bucket yang dimiliki oleh pengirim permintaan yang diautentikasi. Izin ListBucket memungkinkan pengguna melihat objek dalam bucket amzn-s3-demo-bucket-shared-container. Izin GetObject, PutObject, DeleteObject memungkinkan pengguna melihat, memperbarui, dan menghapus konten di bucket amzn-s3-demo-bucket-shared-container.

Pada halaman Tinjau dan buat, ketik read-write-app-bucket nama kebijakan. Tinjau izin yang diberikan oleh kebijakan Anda, lalu pilih Buat kebijakan untuk menyimpan pekerjaan Anda.

Kebijakan baru muncul di daftar kebijakan terkelola.

Pada panel navigasi, silakan pilih Peran lalu pilih Buat peran.

Pilih An Akun AWStipe peran.

Untuk Account ID, ketik Originating Account ID.

Tutorial ini menggunakan contoh ID akun 111111111111 untuk akun Originating. Anda harus menggunakan ID akun yang valid. Jika Anda menggunakan ID akun yang tidak valid, seperti111111111111, IAM tidak memungkinkan Anda membuat peran baru.

Untuk saat ini Anda tidak perlu memerlukan ID eksternal, atau mengharuskan pengguna untuk memiliki otentikasi multi-faktor (MFA) untuk mengambil peran. Biarkan opsi ini tidak dipilih. Untuk informasi selengkapnya, lihat AWS Otentikasi multi-faktor di IAM.

Pilih Berikutnya: Izin untuk mengatur izin yang terkait dengan peran.

Pilih kotak centang di samping kebijakan yang Anda buat sebelumnya.

Lalu, pilih Selanjutnya.

(Opsional) Tambahkan metadata ke peran dengan melampirkan tag sebagai pasangan nilai kunci. Untuk informasi selengkapnya tentang penggunaan tag diIAM, lihatTag untuk AWS Identity and Access Management sumber daya.

(Opsional) Untuk Deskripsi, masukkan deskripsi untuk peran baru ini.

Setelah meninjau peran, klik Buat peran.

Peran UpdateData muncul di daftar peran.

Di panel navigasi IAM konsol, pilih Peran.

Dalam daftar peran, pilih peran UpdateData.

Di bagian Ringkasan panel detail, salin ARN nilai Peran.

Akun Tujuan memiliki ID akun 999999999999, jadi perannya adalah. ARN arn:aws:iam::999999999999:role/UpdateData Pastikan Anda memberikan yang nyata Akun AWS ID untuk akun Tujuan.

Masuk sebagai administrator di akun Originating, dan buka IAM konsol.

Pilih Peran, lalu pilih Pengembang.

Pilih tab Permissions (Izin), pilih Add permissions (Tambahkan izin), lalu pilih Create inline policy (Membuat kebijakan inline).

Pilih JSONtab.

Tambahkan pernyataan kebijakan berikut untuk mengizinkan AssumeRole tindakan pada UpdateData peran di akun Tujuan. Pastikan bahwa Anda mengubah DESTINATION-ACCOUNT-ID dalam Resource elemen ke yang sebenarnya Akun AWS ID dari akun Tujuan.

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": "sts:AssumeRole",
    "Resource": "arn:aws:iam::DESTINATION-ACCOUNT-ID:role/UpdateData"
  }
}

AllowEfeknya secara eksplisit memungkinkan grup Pengembang mengakses UpdateData peran di akun Tujuan. Setiap pengembang yang mencoba mengakses peran berhasil.

Pilih Tinjau kebijakan.

Ketik Nama sepertiallow-assume-S3-role-in-destination.

Pilih Buat kebijakan.

Pilih Peran, lalu pilih Analis.

Pilih tab Permissions (Izin), pilih Add permissions (Tambahkan izin), lalu pilih Create inline policy (Membuat kebijakan inline).

Pilih JSONtab.

Tambahkan pernyataan kebijakan berikut untuk menolak tindakan AssumeRole di peran UpdateData. Pastikan bahwa Anda mengubah DESTINATION-ACCOUNT-ID dalam Resource elemen ke yang sebenarnya Akun AWS ID dari akun Tujuan.

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Deny",
    "Action": "sts:AssumeRole",
    "Resource": "arn:aws:iam::DESTINATION-ACCOUNT-ID:role/UpdateData"
  }
}

DenyEfeknya secara eksplisit menyangkal akses grup Analis ke UpdateData peran dalam akun Tujuan. Setiap analis yang mencoba mengakses peran menerima pesan yang ditolak akses.

Pilih Tinjau kebijakan.

Ketik Nama sepertideny-assume-S3-role-in-destination.

Pilih Buat kebijakan.

Daud menandatangani AWS Management Console menggunakan pengguna normalnya di akun Originating.

Mereka memilih tautan yang dikirimkan administrator melalui email kepada mereka. Ini membawa David ke halaman Beralih Peran dengan ID akun atau alias dan informasi nama peran yang sudah diisi.

—atau—

David memilih nama mereka (menu Identity) pada bilah navigasi, dan kemudian memilih Switch Roles.

Jika ini adalah pertama kalinya David mencoba mengakses halaman Switch Role dengan cara ini, dia pertama kali mendarat di halaman Switch Role yang dijalankan pertama kali. Halaman ini memberikan informasi tambahan tentang bagaimana peralihan peran dapat memungkinkan pengguna untuk mengelola sumber daya di seluruh Akun AWS. David harus memilih Switch Role di halaman ini untuk menyelesaikan sisa prosedur ini.

Selanjutnya, untuk mengakses peran, David harus secara manual mengetikkan nomor ID akun Tujuan (999999999999) dan nama peran (UpdateData).

Selain itu, David ingin memantau peran dan izin terkait yang saat ini aktif. IAM Untuk melacak informasi ini, dia mengetik Destination di kotak teks Display Nama (Nama Tampilan), memilih opsi warna merah, lalu memilih Switch Role (Alihkan Peran).

Sekarang, David dapat menggunakan konsol Amazon S3 untuk bekerja menggunakan bucket Amazon S3 atau sumber daya lain yang peran UpdateDatanya memiliki izin.

Setelah selesai, David dapat kembali ke izin aslinya. Untuk melakukan itu, mereka memilih nama tampilan peran Tujuan pada bilah navigasi dan kemudian memilih Kembali ke David @ 1111111111.

Lain kali David ingin beralih peran dan memilih menu Identitas di bilah navigasi, dia melihat entri Tujuan masih ada dari terakhir kali. Dia cukup memilih entri itu untuk segera beralih peran tanpa memasukkan kembali ID akun dan nama peran.

David membuka jendela prompt perintah, dan mengonfirmasi bahwa AWS CLI klien bekerja dengan menjalankan perintah:

aws help

Dia memulai proses peralihan peran dengan menjalankan perintah berikut untuk beralih ke UpdateData peran di akun Tujuan. Dia menerima peran ARN dari administrator yang menciptakan peran tersebut. Perintah ini mengharuskan Anda memberikan nama sesi, Anda juga dapat memilih teks apa pun yang Anda suka untuk itu.

aws sts assume-role --role-arn "arn:aws:iam::999999999999:role/UpdateData" --role-session-name "David-ProdUpdate"

David kemudian melihat hal-hal berikut di output:

{
    "Credentials": {
        "SecretAccessKey": "wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY",
        "SessionToken": "AQoDYXdzEGcaEXAMPLE2gsYULo+Im5ZEXAMPLEeYjs1M2FUIgIJx9tQqNMBEXAMPLE
CvSRyh0FW7jEXAMPLEW+vE/7s1HRpXviG7b+qYf4nD00EXAMPLEmj4wxS04L/uZEXAMPLECihzFB5lTYLto9dyBgSDy
EXAMPLE9/g7QRUhZp4bqbEXAMPLENwGPyOj59pFA4lNKCIkVgkREXAMPLEjlzxQ7y52gekeVEXAMPLEDiB9ST3Uuysg
sKdEXAMPLE1TVastU1A0SKFEXAMPLEiywCC/Cs8EXAMPLEpZgOs+6hz4AP4KEXAMPLERbASP+4eZScEXAMPLEsnf87e
NhyDHq6ikBQ==",
        "Expiration": "2014-12-11T23:08:07Z",
        "AccessKeyId": "AKIAIOSFODNN7EXAMPLE"
    }
}

David melihat tiga bagian yang mereka butuhkan di bagian Credentials dari output.

David perlu mengkonfigurasi AWS CLI lingkungan untuk menggunakan parameter ini dalam panggilan berikutnya. Untuk informasi tentang berbagai cara mengonfigurasi kredensional Anda, lihat Mengonfigurasi AWS Command Line Interface. Anda tidak dapat menggunakan aws configure perintah karena tidak mendukung pengambilan token sesi. Namun, Anda dapat memasukkan informasi secara manual ke dalam file konfigurasi. Karena ini adalah kredensial sementara dengan waktu kedaluwarsa yang relatif singkat, paling mudah menambahkannya ke lingkungan sesi baris perintah Anda saat ini.

Untuk menambahkan tiga nilai ke lingkungan, David memotong dan menempelkan output langkah sebelumnya ke perintah berikutnya. Anda mungkin ingin memotong dan menempel ke dalam editor teks sederhana untuk mengatasi masalah line wrap dalam output token sesi. Ia harus ditambahkan sebagai satu string panjang, meskipun line wrap ditampilkan di sini untuk kejelasan.

Contoh berikut menunjukkan perintah yang diberikan di lingkungan Windows, di mana “set” adalah perintah untuk membuat variabel lingkungan. Di komputer Linux atau macOS, Anda akan menggunakan perintah “ekspor” sebagai gantinya. Semua bagian contoh lainnya valid di ketiga lingkungan.

Untuk detail tentang menggunakan Alat untuk Windows Powershell, lihat Beralih ke IAM peran (Alat untuk Windows PowerShell)

set AWS_ACCESS_KEY_ID=AKIAIOSFODNN7EXAMPLE
set AWS_SECRET_ACCESS_KEY=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
set AWS_SESSION_TOKEN=AQoDYXdzEGcaEXAMPLE2gsYULo+Im5ZEXAMPLEeYjs1M2FUIgIJx9tQqNMBEXAMPLECvS
Ryh0FW7jEXAMPLEW+vE/7s1HRpXviG7b+qYf4nD00EXAMPLEmj4wxS04L/uZEXAMPLECihzFB5lTYLto9dyBgSDyEXA
MPLEKEY9/g7QRUhZp4bqbEXAMPLENwGPyOj59pFA4lNKCIkVgkREXAMPLEjlzxQ7y52gekeVEXAMPLEDiB9ST3UusKd
EXAMPLE1TVastU1A0SKFEXAMPLEiywCC/Cs8EXAMPLEpZgOs+6hz4AP4KEXAMPLERbASP+4eZScEXAMPLENhykxiHen
DHq6ikBQ==

Pada titik ini, setiap perintah berikut dijalankan di bawah izin peran yang diidentifikasi oleh kredensial tersebut. Dalam kasus David, peran UpdateData.

Jalankan perintah untuk mengakses sumber daya di akun Tujuan. Dalam contoh ini, David mencantumkan isi bucket S3 mereka dengan perintah berikut.

aws s3 ls s3://shared-container

Karena nama bucket Amazon S3 unik secara universal, tidak perlu menentukan ID akun yang memiliki bucket. Untuk mengakses sumber daya untuk orang lain AWS layanan, lihat AWS CLI dokumentasi untuk layanan itu untuk perintah dan sintaks yang diperlukan untuk mereferensikan sumber dayanya.

David memanggil AssumeRole sebagai bagian dari aplikasi. Mereka harus menentukan UpdateDataARN:arn:aws:iam::999999999999:role/UpdateData.

Respond dari panggilan AssumeRole mencakup kredensial sementara dengan AccessKeyId dan SecretAccessKey. Informasi ini juga mencakup waktu Expiration yang menunjukkan kapan kredensial kedaluwarsa dan Anda harus meminta yang baru. Saat Anda mengatur rantai peran dengan AWS SDK, banyak penyedia kredensi secara otomatis menyegarkan kredensil sebelum kedaluwarsa.

Dengan kredensial sementara, David membuat panggilan s3:PutObject untuk memperbarui bucket amzn-s3-demo-bucket-shared-container. Mereka akan meneruskan kredensil ke API panggilan sebagai parameter. AuthParams Karena kredenal peran sementara hanya memiliki akses baca dan tulis ke amzn-s3-demo-bucket-shared-container bucket, tindakan lain apa pun di akun Tujuan ditolak.