Esempio 1: il proprietario del bucket concede agli utenti le autorizzazioni per il bucket

1. Assicurati di avere un account Account AWS e che abbia un utente con privilegi di amministratore.

   1. Iscriviti a un Account AWS, se necessario. Si fa riferimento a questo account come Account A.

      1. Vai su https://aws.amazon.com/s3 e scegli Crea un AWS account.

      2. Seguire le istruzioni su schermo.

         AWS ti avviserà via e-mail quando il tuo account sarà attivo e disponibile per l'uso.

   2. Nell'Account A, crea un utente amministratoreAccountAadmin. Utilizzando le credenziali dell'Account A, accedi alla IAMconsole ed esegui le seguenti operazioni:

      1. Crea utente AccountAadmin e annota le credenziali di sicurezza dell'utente.

         Per istruzioni, consulta la sezione Creazione di un IAM utente Account AWS nella Guida per l'IAMutente.

      2. Concedi i privilegi di amministratore AccountAadminallegando una politica utente che dia accesso completo.

         Per istruzioni, consulta Gestione delle IAM politiche nella Guida per l'IAMutente.

      3. Nota il codice di accesso IAM utente URL per AccountAadmin. Dovrai utilizzarlo URL quando accedi a. AWS Management Console Per ulteriori informazioni su dove trovare l'accessoURL, consulta Accedere AWS Management Console come IAM utente nella Guida per l'IAMutente. Nota il URL codice per ogni account.

2. Configura il AWS CLI o il AWS Tools for Windows PowerShell. Assicurati di salvare le credenziali dell'utente amministratore come segue:

   • Se usi il AWS CLI, crea un profilo nel file di configurazione. AccountAadmin

   • Se utilizzi il AWS Tools for Windows PowerShell, assicurati di memorizzare le credenziali per la sessione come. AccountAadmin

   Per istruzioni, consulta Configurazione degli strumenti per le procedure dettagliate.

1. Crea le risorse di un bucket e di un utente IAM

   1. Nella console di Amazon S3 creare un bucket. Nota Regione AWS in che modo hai creato il bucket. Per istruzioni, consulta Creazione di un bucket.

   2. Nella IAMconsole, procedi come segue:

      1. Crea un utente chiamato Dave.

         Per step-by-step istruzioni, consulta Creazione di IAM utenti (console) nella Guida per l'IAMutente.

      2. Annota le UserDave credenziali.

      3. Nota l'Amazon Resource Name (ARN) per l'utente Dave. Nella IAMConsole, seleziona l'utente e la scheda Riepilogo lo fornisce. ARN

2. Concedi le autorizzazioni.

   Poiché il proprietario del bucket e l'account principale a cui appartiene l'utente sono gli stessi, Account AWS possono concedere le autorizzazioni all'utente utilizzando una policy del bucket, una politica utente o entrambe. come in questo esempio. Se l'oggetto è anche di proprietà dello stesso account, il proprietario del bucket può concedere le autorizzazioni all'oggetto nella policy del bucket (o in una politica). IAM

   1. Nella console Amazon S3, collega la seguente policy sui bucket a awsexamplebucket1.

      La policy include due dichiarazioni.

      • La prima istruzione concede a Dave le autorizzazioni per le operazioni sul bucket s3:GetBucketLocation e s3:ListBucket.

      • La seconda istruzione concede l'autorizzazione s3:GetObject. Poiché l'Account A è anche proprietario dell'oggetto, l'amministratore dell'account può concedere l'autorizzazione s3:GetObject.

      Nella Principal dichiarazione, Dave viene identificato dal suo utente. ARN Per ulteriori informazioni sugli elementi delle policy, consultare Politiche e autorizzazioni in Amazon S3.

      {
         "Version": "2012-10-17",
         "Statement": [
            {
               "Sid": "statement1",
               "Effect": "Allow",
               "Principal": {
                  "AWS": "arn:aws:iam::AccountA-ID:user/Dave"
               },
               "Action": [
                  "s3:GetBucketLocation",
                  "s3:ListBucket"
               ],
               "Resource": [
                  "arn:aws:s3:::awsexamplebucket1"
               ]
            },
            {
               "Sid": "statement2",
               "Effect": "Allow",
               "Principal": {
                  "AWS": "arn:aws:iam::AccountA-ID:user/Dave"
               },
               "Action": [
                   "s3:GetObject"
               ],
               "Resource": [
                  "arn:aws:s3:::awsexamplebucket1/*"
               ]
            }
         ]
      }

   2. Creare una policy inline per l'utente Dave mediante la policy che segue. La policy concede a Dave l'autorizzazione s3:PutObject. È necessario aggiornare la policy specificando il nome del bucket.

      {
         "Version": "2012-10-17",
         "Statement": [
            {
               "Sid": "PermissionForObjectOperations",
               "Effect": "Allow",
               "Action": [
                  "s3:PutObject"
               ],
               "Resource": [
                  "arn:aws:s3:::awsexamplebucket1/*"
               ]
            }
         ]
      }

      Per istruzioni, consulta Managing IAMpolicies in the IAMUser Guide. Tenere presente che è necessario accedere alla console tramite le credenziali dell'Account A.

Verifica le autorizzazioni utilizzando il AWS CLI

1. Aggiorna il file di AWS CLI configurazione aggiungendo il seguente UserDaveAccountA profilo. Per ulteriori informazioni, consulta Configurazione degli strumenti per le procedure dettagliate.

   [profile UserDaveAccountA]
   aws_access_key_id = access-key
   aws_secret_access_key = secret-access-key
   region = us-east-1

2. Verificare che Dave possa eseguire le operazioni autorizzate nella policy utente. Caricate un oggetto di esempio utilizzando il AWS CLI put-object comando seguente.

   Il parametro --body nel comando identifica il file di origine da caricare. Ad esempio, se il file si trova nella radice dell'unità C: su un Windows macchina, si specificac:\HappyFace.jpg. Il parametro --key fornisce il nome della chiave dell'oggetto.

   aws s3api put-object --bucket awsexamplebucket1 --key HappyFace.jpg --body HappyFace.jpg --profile UserDaveAccountA

   Esegui il seguente AWS CLI comando per ottenere l'oggetto.

   aws s3api get-object --bucket awsexamplebucket1 --key HappyFace.jpg OutputFile.jpg --profile UserDaveAccountA

Verifica le autorizzazioni utilizzando il AWS Tools for Windows PowerShell

1. Memorizza le credenziali di Dave come. AccountADave Queste credenziali vengono quindi utilizzate per PUT aggiungere un oggetto. GET

   set-awscredentials -AccessKey AccessKeyID -SecretKey SecretAccessKey -storeas AccountADave

2. Caricate un oggetto di esempio utilizzando il AWS Tools for Windows PowerShell Write-S3Object comando utilizzando le credenziali memorizzate dell'utente Dave.

   Write-S3Object -bucketname awsexamplebucket1 -key HappyFace.jpg -file HappyFace.jpg -StoredCredentials AccountADave

   Scaricare l'oggetto caricato in precedenza.

   Read-S3Object -bucketname awsexamplebucket1 -key HappyFace.jpg -file Output.jpg -StoredCredentials AccountADave