Panoramica della lista di controllo degli accessi (ACL)

Le liste di controllo degli accessi di Amazon S3 (ACLs) consentono di gestire l'accesso a bucket e oggetti. A ogni bucket e oggetto è ACL associato un oggetto come sottorisorsa. Definisce a quali Account AWS gruppi è concesso l'accesso e il tipo di accesso. Quando viene ricevuta una richiesta su una risorsa, Amazon S3 verifica la corrispondente ACL per verificare che il richiedente disponga delle autorizzazioni di accesso necessarie.

S3 Object Ownership è un'impostazione a livello di bucket di Amazon S3 che puoi utilizzare sia per controllare la proprietà degli oggetti caricati nel tuo bucket sia per disabilitarli o abilitarli. ACLs Per impostazione predefinita, Object Ownership è impostata sull'impostazione imposta dal proprietario del Bucket e tutti sono disabilitati. ACLs Quando ACLs sono disabilitati, il proprietario del bucket possiede tutti gli oggetti nel bucket e ne gestisce l'accesso esclusivamente utilizzando le politiche di gestione degli accessi.

La maggior parte dei casi d'uso moderni in Amazon S3 non richiede più l'uso di. ACLs Ti consigliamo di rimanere ACLs disabilitato, tranne in circostanze insolite in cui devi controllare l'accesso per ogni oggetto singolarmente. ACLsDisabilitando, puoi utilizzare le policy per controllare l'accesso a tutti gli oggetti nel tuo bucket, indipendentemente da chi ha caricato gli oggetti nel tuo bucket. Per ulteriori informazioni, consulta Controllo della proprietà degli oggetti e disattivazione ACLs del bucket.

Quando crei un bucket o un oggetto, Amazon S3 crea un ACL valore predefinito che concede al proprietario della risorsa il pieno controllo sulla risorsa. Questo è mostrato nel seguente bucket di esempio ACL (l'oggetto predefinito ACL ha la stessa struttura):

<?xml version="1.0" encoding="UTF-8"?>
<AccessControlPolicy xmlns="http://s3.amazonaws.com/doc/2006-03-01/">
  <Owner>
    <ID>*** Owner-Canonical-User-ID ***</ID>
    <DisplayName>owner-display-name</DisplayName>
  </Owner>
  <AccessControlList>
    <Grant>
      <Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" 
               xsi:type="Canonical User">
        <ID>*** Owner-Canonical-User-ID ***</ID>
        <DisplayName>display-name</DisplayName>
      </Grantee>
      <Permission>FULL_CONTROL</Permission>
    </Grant>
  </AccessControlList>
</AccessControlPolicy> 

L'esempio ACL include un Owner elemento che identifica il proprietario tramite l'ID Account AWS utente canonico. Per istruzioni sulla ricerca dell'ID utente canonico, consulta Trovare un ID utente canonico Account AWS. L'Grantelemento identifica il beneficiario (un gruppo Account AWS o un gruppo predefinito) e l'autorizzazione concessa. Questa impostazione predefinita ACL ha un Grant elemento per il proprietario. Per concedere le autorizzazioni aggiungere elementi Grant; ognuno di questi elementi identifica l'assegnatario e l'autorizzazione.

Che cosa si intende per assegnatario?

Un beneficiario può essere uno Account AWS o uno dei gruppi Amazon S3 predefiniti. Concedi l'autorizzazione a Account AWS utilizzare l'indirizzo e-mail o l'ID utente canonico. Tuttavia, se fornisci un indirizzo e-mail nella tua richiesta di concessione, Amazon S3 trova l'ID utente canonico per quell'account e lo aggiunge a. ACL Il risultato contiene ACLs sempre l'ID utente canonico di Account AWS, non l'indirizzo e-mail di. Account AWS

Quando si concedono i diritti di accesso, si specifica ogni assegnatario come coppia type="value" in cui type è uno dei seguenti:

x-amz-grant-read: emailAddress="xyz@example.com", emailAddress="abc@example.com"

Trovare un ID utente canonico Account AWS

L'ID utente canonico è associato al tuo Account AWS. Questo ID è una stringa di caratteri lunga, ad esempio:

79a59df900b949e55d96a1e698fbacedfd6e09d98eacf8f8d5218e7cd47ef2be

Per informazioni su come trovare l'ID utente canonico per il tuo account, consulta Trova l'ID utente canonico per il tuo Account AWS nella Guida di riferimento per la gestione dell'account.AWS

Puoi anche cercare l'ID utente canonico di un utente Account AWS leggendo il contenuto di un bucket o ACL di un oggetto a cui dispone delle autorizzazioni di accesso. Account AWS Quando a un individuo Account AWS vengono concesse le autorizzazioni tramite una richiesta di sovvenzione, viene aggiunta una voce di autorizzazione ACL con l'ID utente canonico dell'account.

Gruppi predefiniti di Amazon S3

Amazon S3 include un set di gruppi predefiniti. Quando concedi l'accesso tramite account a un gruppo, specifichi uno degli Amazon URIs S3 anziché un ID utente canonico. Amazon S3 fornisce i seguenti gruppi predefiniti:

Quali autorizzazioni è possibile concedere?

La tabella seguente elenca il set di autorizzazioni supportate da Amazon S3 in un file. ACL Il set di ACL autorizzazioni è lo stesso per un oggetto ACL e un bucket. ACL Tuttavia, a seconda del contesto (bucket ACL o oggettoACL), queste ACL autorizzazioni concedono autorizzazioni per bucket o operazioni sugli oggetti specifici. La tabella elenca le autorizzazioni e ne descrive il significato nel contesto degli oggetti e dei bucket.

Per ulteriori informazioni sulle ACL autorizzazioni nella console Amazon S3, consulta. Configurazione ACLs

Mappatura delle autorizzazioni e delle ACL autorizzazioni relative alle politiche di accesso

Come illustrato nella tabella precedente, an ACL consente solo un insieme finito di autorizzazioni, rispetto al numero di autorizzazioni che è possibile impostare in una politica di accesso (vedere). Azioni politiche per Amazon S3 Ognuna di queste autorizzazioni permette di eseguire una o più operazioni di Amazon S3.

La tabella seguente mostra come ogni ACL autorizzazione è mappata alle autorizzazioni corrispondenti ai criteri di accesso. Come puoi vedere, la politica di accesso consente più autorizzazioni di unaACL. Si utilizza ACLs principalmente per concedere autorizzazioni di lettura/scrittura di base, simili alle autorizzazioni del file system. Per ulteriori informazioni su quando utilizzare un, vedere. ACL Identity and Access Management per Amazon S3

Per ulteriori informazioni sulle ACL autorizzazioni nella console Amazon S3, consulta. Configurazione ACLs

Chiavi di condizione

Quando concedi le autorizzazioni relative ai criteri di accesso, puoi utilizzare le chiavi di condizione per vincolare il valore di ACL su un oggetto utilizzando una policy bucket. Le seguenti chiavi di contesto corrispondono a. ACLs È possibile utilizzare queste chiavi di contesto per imporre l'uso di uno specifico ACL in una richiesta:

Ad esempio, le politiche che coinvolgono intestazioni ACL specifiche, vedi. Concessione di s3: PutObject autorizzazione con una condizione che richiede al proprietario del bucket di ottenere il pieno controllo Per un elenco completo delle chiavi di condizione specifiche di Amazon S3, consulta Azioni, risorse e chiavi di condizione per Amazon S3 nel Service Authorization Reference.

Per ulteriori informazioni sulle autorizzazioni alle API operazioni S3 in base ai tipi di risorse S3, consulta. Autorizzazioni richieste per le operazioni di Amazon API S3

Valori aclRequired per le richieste di Amazon S3

Per identificare le richieste Amazon S3 che richiedono ACLs l'autorizzazione, puoi utilizzare il aclRequired valore nei log di accesso al server Amazon S3 oppure. AWS CloudTrail Il aclRequired valore visualizzato nei CloudTrail nostri log di accesso al server di Amazon S3 dipende dalle operazioni richiamate e da determinate informazioni sul richiedente, sul proprietario dell'oggetto e sul proprietario del bucket. Se non è ACLs necessario, se stai impostando il bucket-owner-full-control valore predefinito o se le richieste sono consentite dalla tua bucket policy, la stringa di aclRequired valore è "-" nei log di accesso al server di Amazon S3 ed è assente in. ACL CloudTrail

Le tabelle seguenti elencano i aclRequired valori previsti nei nostri log CloudTrail di accesso al server Amazon S3 per le varie operazioni di Amazon S3. API Puoi utilizzare queste informazioni per capire da cosa dipende ACLs l'autorizzazione delle operazioni di Amazon S3. Nelle tabelle seguenti, A, B e C rappresentano i diversi account associati al richiedente, al proprietario dell'oggetto e al proprietario del bucket. Le voci con un asterisco (*) indicano uno degli account A, B o C.

La tabella seguente mostra i valori peraclRequired. CloudTrail

La tabella seguente mostra aclRequired i valori per i log di accesso al server Amazon S3.

Esempio ACL

L'esempio seguente ACL su un bucket identifica il proprietario della risorsa e una serie di sovvenzioni. Il formato è la XML rappresentazione di un ACL in Amazon S3 RESTAPI. Il proprietario del bucket ha il FULL_CONTROL della risorsa. Inoltre, ACL mostra come vengono concesse le autorizzazioni su una risorsa a due Account AWS, identificati da un ID utente canonico, e a due dei gruppi Amazon S3 predefiniti discussi nella sezione precedente.

<?xml version="1.0" encoding="UTF-8"?>
<AccessControlPolicy xmlns="http://s3.amazonaws.com/doc/2006-03-01/">
  <Owner>
    <ID>Owner-canonical-user-ID</ID>
    <DisplayName>display-name</DisplayName>
  </Owner>
  <AccessControlList>
    <Grant>
      <Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="CanonicalUser">
        <ID>Owner-canonical-user-ID</ID>
        <DisplayName>display-name</DisplayName>
      </Grantee>
      <Permission>FULL_CONTROL</Permission>
    </Grant>
    
    <Grant>
      <Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="CanonicalUser">
        <ID>user1-canonical-user-ID</ID>
        <DisplayName>display-name</DisplayName>
      </Grantee>
      <Permission>WRITE</Permission>
    </Grant>

    <Grant>
      <Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="CanonicalUser">
        <ID>user2-canonical-user-ID</ID>
        <DisplayName>display-name</DisplayName>
      </Grantee>
      <Permission>READ</Permission>
    </Grant>

    <Grant>
      <Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="Group">
        <URI>http://acs.amazonaws.com/groups/global/AllUsers</URI> 
      </Grantee>
      <Permission>READ</Permission>
    </Grant>
    <Grant>
      <Grantee xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="Group">
        <URI>http://acs.amazonaws.com/groups/s3/LogDelivery</URI>
      </Grantee>
      <Permission>WRITE</Permission>
    </Grant>

  </AccessControlList>
</AccessControlPolicy>

In scatola ACL

Amazon S3 supporta una serie di sovvenzioni predefinite, note come predefinite. ACLs Ogni prodotto predefinito ACL ha un set predefinito di concessionari e autorizzazioni. La tabella seguente elenca l'insieme delle sovvenzioni predefinite e le sovvenzioni predefinite associateACLs.

Specificate un valore predefinito ACL nella vostra richiesta utilizzando l'intestazione della x-amz-acl richiesta. Quando Amazon S3 riceve una richiesta con un valore predefinito ACL nella richiesta, aggiunge le concessioni predefinite alla risorsa. ACL