Esempio 2: il proprietario del bucket concede autorizzazioni per il bucket multiaccount

1. Assicurati di avere due Account AWS e che ogni account abbia un utente amministratore, come mostrato nella tabella della sezione precedente.

   1. Accedi a Account AWS, se necessario.

   2. Utilizzando le credenziali dell'account A, accedere alla console IAM per creare l'utente amministratore:

      1. Crea l'utente AccountAadmin e annota le credenziali di sicurezza. Per istruzioni, consulta Creazione di un utente IAM in Account AWS nella Guida all'utente IAM.

      2. Concedere i privilegi di amministratore ad AccountAadmin allegando una policy utente che dia accesso completo. Per istruzioni, consulta Operazioni con i criteri nella Guida dell'utente IAM.

   3. Nella console IAM, annota l'URL di accesso dell'utente IAM nella Dashboard. Tutti gli utenti dell'account devono utilizzare questo URL quando accedono a AWS Management Console.

      Per ulteriori informazioni, consulta Come gli utenti accedono al tuo account nella Guida all'utente IAM.

   4. Ripeti il passaggio precedente utilizzando le credenziali dell'account B e creare l'utente amministratore AccountBadmin.

2. Imposta AWS Command Line Interface (AWS CLI) o AWS Tools for Windows PowerShell. Assicurati di salvare le credenziali dell'utente amministratore come segue:

   • Se si utilizza AWS CLI, crea due profili, AccountAadmin e AccountBadmin, nel file di configurazione.

   • Se si utilizza AWS Tools for Windows PowerShell, assicurati di memorizzare le credenziali per la sessione come AccountAadmin e AccountBadmin.

   Per le istruzioni, consulta Impostazione degli strumenti per le visite guidate.

3. Salvare le credenziali dell'utente amministratore, chiamate anche profili. È possibile utilizzare il nome del profilo anziché specificare le credenziali per ciascun comando immesso. Per ulteriori informazioni, consulta Impostazione degli strumenti per le visite guidate.

   1. Aggiungi i profili nel file delle credenziali di AWS CLI per ciascuno degli utenti amministratori, AccountAadmin e AccountBadmin, nei due account.

      [AccountAadmin]
      aws_access_key_id = access-key-ID
      aws_secret_access_key = secret-access-key
      region = us-east-1
      
      [AccountBadmin]
      aws_access_key_id = access-key-ID
      aws_secret_access_key = secret-access-key
      region = us-east-1

   2. Se si utilizza AWS Tools for Windows PowerShell, esegui il seguente comando.

      set-awscredentials –AccessKey AcctA-access-key-ID –SecretKey AcctA-secret-access-key –storeas AccountAadmin
      set-awscredentials –AccessKey AcctB-access-key-ID –SecretKey AcctB-secret-access-key –storeas AccountBadmin

1. Nella console Amazon S3, crea un bucket. Questo esercizio presuppone che il bucket sia stato creato nella zona est della Regione AWS Stati Uniti orientali (Virginia settentrionale) e sia denominato amzn-s3-demo-bucket.

   Per le istruzioni, consulta Creazione di un bucket.

2. Caricare un oggetto campione nel bucket.

   Per le istruzioni, visita Fase 2: Carica un oggetto nel tuo bucket.

1. Allega il seguente criterio del bucket a amzn-s3-demo-bucket. Il criterio concede all'Account B l'autorizzazione per le azioni s3:GetLifecycleConfiguration e s3:ListBucket.

   Per le istruzioni, consulta Aggiunta di un criterio per il bucket utilizzando la console Amazon S3.

   {
      "Version": "2012-10-17",
      "Statement": [
         {
            "Sid": "Example permissions",
            "Effect": "Allow",
            "Principal": {
               "AWS": "arn:aws:iam::AccountB-ID:root"
            },
            "Action": [
               "s3:GetLifecycleConfiguration",
               "s3:ListBucket"
            ],
            "Resource": [
               "arn:aws:s3:::amzn-s3-demo-bucket"
            ]
         }
      ]
   }

2. Verifica che l'account B (e quindi il suo utente amministratore) possa eseguire le operazioni.

   • Verifica con il tasto AWS CLI

     aws s3 ls s3://amzn-s3-demo-bucket --profile AccountBadmin
     aws s3api get-bucket-lifecycle-configuration --bucket amzn-s3-demo-bucket --profile AccountBadmin

   • Verifica con il tasto AWS Tools for Windows PowerShell

     get-s3object -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBadmin 
     get-s3bucketlifecycleconfiguration -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBadmin

Testa le autorizzazioni usando il metodo AWS CLI

1. Aggiungi il profilo UserDave al file di configurazione AWS CLI. Per ulteriori informazioni sul file di configurazione, consulta Impostazione degli strumenti per le visite guidate.

   [profile UserDave]
   aws_access_key_id = access-key
   aws_secret_access_key = secret-access-key
   region = us-east-1

2. Al prompt dei comandi, immettere il seguente comando AWS CLI per verificare che Dave possa ora ottenere un elenco di oggetti dal profilo amzn-s3-demo-bucket di proprietà dell'account A. Si noti che il comando specifica il profilo UserDave.

   aws s3 ls s3://amzn-s3-demo-bucket --profile UserDave

   Dave non ha altri permessi. Quindi, se si tenta qualsiasi altra operazione, ad esempio la seguente configurazione get-bucket-lifecycle, Amazon S3 restituisce l'autorizzazione negata.

   aws s3api get-bucket-lifecycle-configuration --bucket amzn-s3-demo-bucket --profile UserDave

Testa le autorizzazioni utilizzando AWS Tools for Windows PowerShell

1. Memorizza le credenziali di Dave come AccountBDave.

   set-awscredentials -AccessKey AccessKeyID -SecretKey SecretAccessKey -storeas AccountBDave

2. Prova il comando Elenca bucket.

   get-s3object -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBDave

   Dave non ha altri permessi. Quindi, se si tenta un'altra operazione, ad esempio la seguente get-s3bucketlifecycleconfiguration-Amazon S3 restituisce Autorizzazione negata.

   get-s3bucketlifecycleconfiguration -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBDave

1. Una volta terminato il test, è possibile eseguire le seguenti operazioni di pulizia:

   1. Accedere a AWS Management Console (AWS Management Console) utilizzando le credenziali dell'account A ed eseguendo le seguenti operazioni:

      • Nella console di Amazon S3 rimuovere la policy del bucket collegata a amzn-s3-demo-bucket. Nelle Proprietà del bucket, elimina la policy nella sezione Autorizzazioni.

      • Se il bucket è stato creato per questo esercizio, nella console Amazon S3, eliminare gli oggetti e quindi eliminare il bucket.

      • Nella Console IAM, rimuovi l'utente AccountAadmin.

2. Accedi alla Console IAM utilizzando le credenziali dell'Account B. Cancella l'utente AccountBadmin. Per istruzioni dettagliate, consulta Eliminazione di un utente IAM nella Guida all'utente IAM.