Accesso multi-account S3 Access Grants

Con S3 Access Grants, puoi concedere l'accesso ai dati di Amazon S3 a quanto segue:

Innanzitutto, configura l'accesso tra account per l'altro account. Ciò include la concessione dell'accesso alla tua istanza S3 Access Grants utilizzando una politica delle risorse. Quindi, concedi l'accesso ai tuoi dati S3 (bucket, prefissi o oggetti) utilizzando le concessioni.

Dopo aver configurato l'accesso tra account, l'altro account può richiedere credenziali di accesso temporanee ai dati Amazon S3 da S3 Access Grants. L'immagine seguente mostra il flusso di utenti per l'accesso a S3 tra account diversi tramite S3 Access Grants:

La configurazione di S3 Access concede l'accesso a più account

Per concedere l'accesso a S3 su più account tramite S3 Access Grants, segui questi passaggi:

Fase 1: configura un'istanza S3 Access Grants nel tuo account

Innanzitutto, devi avere un'istanza S3 Access Grants nel tuo account 111122223333 per gestire l'accesso ai tuoi dati Amazon S3. Devi creare un'istanza S3 Access Grants in ciascuna delle Regione AWS quali sono archiviati i dati S3 che desideri condividere. Se condividi dati in più di un'unità Regione AWS, ripeti ciascuno di questi passaggi di configurazione per ciascuno. Regione AWS Se hai già un'istanza S3 Access Grants nel luogo in Regione AWS cui sono archiviati i dati S3, procedi al passaggio successivo. Se non hai configurato un'istanza S3 Access Grants, consulta Utilizzo delle istanze S3 Access Grants per completare questo passaggio.

Passaggio 2: configura la politica delle risorse per la tua istanza S3 Access Grants per concedere l'accesso su più account

Dopo aver creato un'istanza S3 Access Grants nel tuo account 111122223333 per l'accesso tra account, configura la politica basata sulle risorse per l'istanza S3 Access Grants nel tuo account per concedere l'accesso a più account. 111122223333 L'istanza S3 Access Grants supporta da sola le policy basate sulle risorse. Con la politica corretta basata sulle risorse, puoi concedere l'accesso a AWS Identity and Access Management (IAM) utenti o ruoli di altri utenti alla tua istanza S3 Access Grants. Account AWS L'accesso tra account diversi concede solo queste autorizzazioni (azioni):

Puoi scegliere quali di queste autorizzazioni includere nella policy della risorsa. Questa politica delle risorse sull'istanza S3 Access Grants è una normale politica basata sulle risorse e supporta tutto ciò che supporta il linguaggio delle policy. IAM Nella stessa politica, puoi concedere l'accesso a IAM identità specifiche nel tuo account111122223333, ad esempio, utilizzando la aws:PrincipalArn condizione, ma non è necessario farlo con S3 Access Grants. Invece, all'interno dell'istanza S3 Access Grants, puoi creare sovvenzioni per IAM identità individuali dal tuo account e per l'altro account. Gestendo ogni concessione di accesso tramite S3 Access Grants, puoi ridimensionare le tue autorizzazioni.

Se utilizzi già AWS Resource Access Manager(AWS RAM), puoi usarlo per condividere s3:AccessGrantsle tue risorse con altri account o all'interno della tua organizzazione. Per ulteriori informazioni, consulta Lavorare con AWS risorse condivise. Se non la utilizzi AWS RAM, puoi anche aggiungere la politica delle risorse utilizzando le API operazioni S3 Access Grants o il AWS Command Line Interface ()AWS CLI.

{
"Version": "2012-10-17",
"Statement": [
{
	"Effect": "Allow", 
	"Principal": {
	"AWS": "444455556666"
}, 
	"Action": [
		"s3:ListAccessGrants",
		"s3:ListAccessGrantsLocations",
		"s3:GetDataAccess",
		"s3:GetAccessGrantsInstanceForPrefix"
	],
	"Resource": "arn:aws:s3:us-east-2:111122223333:access-grants/default"
} ]
}

	aws s3control put-access-grants-instance-resource-policy \
	--account-id 111122223333 \
	--policy file://resourcePolicy.json \
	--region us-east-2
	{
		"Policy": "{\n 
		  \"Version\": \"2012-10-17\",\n 
		  \"Statement\": [{\n  
			\"Effect\": \"Allow\",\n
			\"Principal\": {\n
			  \"AWS\": \"444455556666\"\n
			},\n  
			\"Action\": [\n
			  \"s3:ListAccessGrants\",\n
			  \"s3:ListAccessGrantsLocations\",\n
			  \"s3:GetDataAccess\",\n
			  \"s3:GetAccessGrantsInstanceForPrefix\",\n
			  \"s3:ListCallerAccessGrants"\n
			],\n
			\"Resource\": \"arn:aws:s3:us-east-2:111122223333:access-grants/default\"\n
		   }\n  
		  ]\n
		  }\n",
		"CreatedAt": "2023-06-16T00:07:47.473000+00:00"
	}

aws s3control get-access-grants-instance-resource-policy \
--account-id 111122223333 \
--region us-east-2

{
"Policy": "{\"Version\":\"2012-10-17\",\"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"AWS\":\"arn:aws:iam::111122223333:root\"},\"Action\":[\"s3:ListAccessGrants\",\"s3:ListAccessGrantsLocations\",\"s3:GetDataAccess\",\"s3:GetAccessGrantsInstanceForPrefix\",\"s3:ListCallerAccessGrants\"],\"Resource\":\"arn:aws:
s3:us-east-2:111122223333:access-grants/default\"}]}",
"CreatedAt": "2023-06-16T00:07:47.473000+00:00"
}

aws s3control delete-access-grants-instance-resource-policy \
--account-id 111122223333 \
--region us-east-2

// No response body

{
"Version": "2012-10-17",
"Statement": [
{
	"Effect": "Allow", 
	"Principal": {
	"AWS": "444455556666"
}, 
	"Action": [
		"s3:ListAccessGrants",
		"s3:ListAccessGrantsLocations",
		"s3:GetDataAccess",
		"s3:GetAccessGrantsInstanceForPrefix"
	],
	"Resource": "arn:aws:s3:us-east-2:111122223333:access-grants/default"
} ]
}

Passaggio 3: Concedi IAM alle identità di un secondo account l'autorizzazione a chiamare l'istanza S3 Access Grants nel tuo account

Dopo che il proprietario dei dati di Amazon S3 ha configurato la policy cross-account per l'istanza S3 Access Grants nell'account111122223333, il proprietario del secondo account 444455556666 deve creare una policy basata sull'identità per i suoi IAM utenti o ruoli e il proprietario deve concedere loro l'accesso all'istanza S3 Access Grants. Nella politica basata sull'identità, includi una o più delle seguenti azioni, a seconda di ciò che è concesso nella politica delle risorse dell'istanza S3 Access Grants e delle autorizzazioni che desideri concedere:

Seguendo lo schema di accesso AWS tra account, IAM gli utenti o i ruoli del secondo account 444455556666 devono disporre esplicitamente di una o più di queste autorizzazioni. Ad esempio, concedi l's3:GetDataAccessautorizzazione in modo che l'IAMutente o il ruolo possa chiamare l'istanza S3 Access Grants nell'account per richiedere le credenziali. 111122223333

Per utilizzare questo comando di esempio, sostituisci user input placeholders con le tue informazioni.

{
	"Version": "2012-10-17",
	"Statement": [
	{
		"Effect": "Allow", 
		"Action": [
			"s3:GetDataAccess",
		],
			"Resource": "arn:aws:s3:us-east-2:111122223333:access-grants/default"
		} 
	]
}

Per informazioni sulla modifica delle politiche IAM basate sull'identità, consulta Modifica delle politiche nella guida. IAM AWS Identity and Access Management

Passaggio 4: crea una concessione nell'istanza S3 Access Grants del tuo account che consenta all'IAMidentità del secondo account di accedere ad alcuni dei tuoi dati S3

Per la fase finale di configurazione, puoi creare una concessione nell'istanza S3 Access Grants del tuo account 111122223333 che dia accesso all'IAMidentità del secondo account 444455556666 ad alcuni dati S3 del tuo account. Puoi farlo utilizzando la console Amazon S3, CLIAPI, e. SDKs Per ulteriori informazioni, consulta Creazione di concessioni.

Nella concessione, specifica l'IAMidentità AWS ARN del secondo account e specifica a quale posizione nei dati S3 (un bucket, un prefisso o un oggetto) a cui concedere l'accesso. Questa posizione deve essere già registrata con la tua istanza S3 Access Grants. Per ulteriori informazioni, consulta Registrazione di una posizione. Facoltativamente, puoi specificare un sottoprefisso. Ad esempio, se la posizione a cui concedi l'accesso è un bucket e desideri limitare ulteriormente l'accesso a un oggetto specifico in quel bucket, passa il nome della chiave dell'oggetto nel campo. S3SubPrefix Oppure, se desideri limitare l'accesso agli oggetti nel bucket con nomi di chiave che iniziano con un prefisso specifico, ad esempio, then pass. 2024-03-research-results/ S3SubPrefix=2024-03-research-results/

Di seguito è riportato un CLI comando di esempio per creare una concessione di accesso per un'identità nel secondo account. Per ulteriori informazioni, consulta Creazione di concessioni. Per utilizzare questo comando di esempio, sostituisci user input placeholders con le tue informazioni.

aws s3control create-access-grant \
--account-id 111122223333 \
--access-grants-location-id default \
--access-grants-location-configuration S3SubPrefix=prefixA* \
--permission READ \
--grantee GranteeType=IAM,GranteeIdentifier=arn:aws:iam::444455556666:role/data-consumer-1

Dopo aver configurato l'accesso tra più account, l'utente o il ruolo nel secondo account può eseguire le seguenti operazioni: