Esempio 2: il proprietario del bucket concede autorizzazioni per il bucket multiaccount

1. Assicurati di averne due Account AWS e che ogni account abbia un utente amministratore, come mostrato nella tabella nella sezione precedente.

   1. Registrati per un Account AWS, se necessario.

   2. Utilizzando le credenziali dell'Account A, accedere alla console IAM per creare l'utente amministratore:

      1. Crea l'utente AccountAadmin e annota le credenziali di sicurezza. Per istruzioni, consulta Creazione di un utente IAM nell' Account AWS nella Guida per l'utente di IAM.

      2. Concedi i privilegi di amministratore AccountAadminallegando una politica utente che dia accesso completo. Per istruzioni, consulta Gestione di policy IAM nella Guida per l'utente di IAM.

   3. Nella console IAM, annota l'URL di accesso dell'utente IAM nella Dashboard. Tutti gli utenti dell'account devono utilizzare questo URL per accedere alla AWS Management Console.

      Per ulteriori informazioni, consulta In che modo gli utenti effettuano l'accesso al tuo account nella Guida per l'utente IAM.

   4. Ripeti il passaggio precedente utilizzando le credenziali dell'account B e creare l'utente amministratore AccountBadmin.

2. Imposta il AWS Command Line Interface (AWS CLI) o il. AWS Tools for Windows PowerShell Assicurati di salvare le credenziali dell'utente amministratore come segue:

   • Se usi il AWS CLI, crea due profili AccountAadmin eAccountBadmin, nel file di configurazione.

   • Se utilizzi il AWS Tools for Windows PowerShell, assicurati di memorizzare le credenziali per la sessione come eAccountAadmin. AccountBadmin

   Per istruzioni, consulta Impostazione degli strumenti per le visite guidate.

3. Salvare le credenziali dell'utente amministratore, chiamate anche profili. È possibile utilizzare il nome del profilo anziché specificare le credenziali per ciascun comando immesso. Per ulteriori informazioni, consulta Impostazione degli strumenti per le visite guidate.

   1. Aggiungi i profili nel file delle AWS CLI credenziali per ciascuno degli utenti amministratori AccountAadmin e AccountBadmin nei due account.

      [AccountAadmin]
      aws_access_key_id = access-key-ID
      aws_secret_access_key = secret-access-key
      region = us-east-1
      
      [AccountBadmin]
      aws_access_key_id = access-key-ID
      aws_secret_access_key = secret-access-key
      region = us-east-1

   2. Se si utilizza AWS Tools for Windows PowerShell, esegui il seguente comando.

      set-awscredentials –AccessKey AcctA-access-key-ID –SecretKey AcctA-secret-access-key –storeas AccountAadmin
      set-awscredentials –AccessKey AcctB-access-key-ID –SecretKey AcctB-secret-access-key –storeas AccountBadmin

1. Nella console di Amazon S3 creare un bucket. Questo esercizio presuppone che il bucket sia stato creato negli Stati Uniti orientali (Virginia settentrionale) Regione AWS e abbia un nome. amzn-s3-demo-bucket

   Per istruzioni, consulta Creazione di un bucket.

2. Caricare un oggetto campione nel bucket.

   Per istruzioni, vai su Fase 2: Carica un oggetto nel tuo bucket.

1. Collegare la seguente policy di bucket a amzn-s3-demo-bucket. La policy concede all'Account B autorizzazioni per le operazioni s3:GetLifecycleConfiguration e s3:ListBucket.

   Per istruzioni, consulta Aggiunta di una policy di bucket utilizzando la console di Amazon S3.

   {
      "Version": "2012-10-17",
      "Statement": [
         {
            "Sid": "Example permissions",
            "Effect": "Allow",
            "Principal": {
               "AWS": "arn:aws:iam::AccountB-ID:root"
            },
            "Action": [
               "s3:GetLifecycleConfiguration",
               "s3:ListBucket"
            ],
            "Resource": [
               "arn:aws:s3:::amzn-s3-demo-bucket"
            ]
         }
      ]
   }

2. Verifica che l'account B (e quindi il suo utente amministratore) possa eseguire le operazioni.

   • Verifica utilizzando il AWS CLI

     aws s3 ls s3://amzn-s3-demo-bucket --profile AccountBadmin
     aws s3api get-bucket-lifecycle-configuration --bucket amzn-s3-demo-bucket --profile AccountBadmin

   • Verificare utilizzando il AWS Tools for Windows PowerShell

     get-s3object -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBadmin 
     get-s3bucketlifecycleconfiguration -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBadmin

Verifica le autorizzazioni utilizzando il AWS CLI

1. Aggiungi il UserDave profilo al file di AWS CLI configurazione. Per ulteriori informazioni sul file di configurazione, consulta Impostazione degli strumenti per le visite guidate.

   [profile UserDave]
   aws_access_key_id = access-key
   aws_secret_access_key = secret-access-key
   region = us-east-1

2. Al prompt dei comandi, inserisci il seguente AWS CLI comando per verificare che Dave possa ora ottenere un elenco di oggetti dall'account di amzn-s3-demo-bucket proprietà dell'Account A. Nota che il comando specifica il profilo. UserDave

   aws s3 ls s3://amzn-s3-demo-bucket --profile UserDave

   Dave non ha altri permessi. Quindi, se si tenta qualsiasi altra operazione, ad esempio la seguente configurazione get-bucket-lifecycle, Amazon S3 restituisce l'autorizzazione negata.

   aws s3api get-bucket-lifecycle-configuration --bucket amzn-s3-demo-bucket --profile UserDave

Verifica le autorizzazioni utilizzando AWS Tools for Windows PowerShell

1. Memorizza le credenziali di Dave come AccountBDave.

   set-awscredentials -AccessKey AccessKeyID -SecretKey SecretAccessKey -storeas AccountBDave

2. Provare a utilizzare il comando List Bucket.

   get-s3object -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBDave

   Dave non ha altri permessi. Quindi, se si tenta un'altra operazione, ad esempio la seguente get-s3bucketlifecycleconfiguration-Amazon S3 restituisce Autorizzazione negata.

   get-s3bucketlifecycleconfiguration -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBDave

1. Una volta terminato il test, è possibile eseguire le seguenti operazioni di pulizia:

   1. Accedere a AWS Management Console (AWS Management Console) utilizzando le credenziali dell'Account A ed effettuare le seguenti operazioni:

      • Nella console di Amazon S3 rimuovere la policy del bucket collegata a amzn-s3-demo-bucket. Nelle Proprietà del bucket, elimina la policy nella sezione Autorizzazioni.

      • Se il bucket è stato creato per questo esercizio, nella console di Amazon S3 eliminare gli oggetti e quindi il bucket.

      • Nella Console IAM, rimuovi l'utente AccountAadmin.

2. Accedi alla Console IAM utilizzando le credenziali dell'Account B. Cancella l'utente AccountBadmin. Per step-by-step istruzioni, consulta Eliminazione di un utente IAM nella Guida per l'utente IAM.