Esempio 4 - Proprietario di un bucket che concede un'autorizzazione multi-account agli oggetti di cui non è proprietario

Assicurati di averne tre Account AWS e che ogni account abbia un utente amministratore, come mostrato nella tabella nella sezione precedente.

1. Iscriviti a Account AWS, se necessario. Si fa riferimento a questi account come Account A, Account B e Account C.

2. Utilizzando le credenziali dell'Account A, accedere alla console IAM ed effettuare quanto segue per creare un utente amministratore:

   • Crea l'utente AccountAadmin e prendi nota delle sue credenziali di sicurezza. Per ulteriori informazioni sull'aggiunta di utenti, consulta Creazione di un utente IAM nell' Account AWS nella Guida per l'utente di IAM.

   • Concedi i privilegi di amministratore AccountAadminallegando una politica utente che dia accesso completo. Per istruzioni, consulta Gestione delle policy IAM nella Guida all'utente IAM.

   • Nella Dashboard della Console IAM, annota l'URL di accesso dell'utente IAM. Gli utenti di questo account devono utilizzare questo URL per accedere alla AWS Management Console. Per ulteriori informazioni, consulta Accedere AWS Management Console come utente IAM nella Guida per l'utente IAM.

3. Ripetere la fase precedente per creare utenti amministratore nell'Account B e nell'Account C.

Per l'account C, annota l'ID utente canonico.

Quando si crea un ruolo IAM nell'Account A, la policy di attendibilità concede all'Account C l'autorizzazione per assumere il ruolo mediante la specifica dell'ID account. È possibile trovare informazioni sull'account come indicato di seguito:

1. Usa il tuo Account AWS ID o alias dell'account, il tuo nome utente IAM e la password per accedere alla console Amazon S3.

2. Scegliere il nome di un bucket Amazon S3 per visualizzare i relativi dettagli.

3. Selezionare la scheda Permissions (Autorizzazioni) e selezionare Access Control List (Lista di controllo accessi).

4. Nella sezione Accesso per il tuo Account AWS, nella colonna Account è presente un identificatore lungo, come c1daexampleaaf850ea79cf0430f33d72579fd1611c97f7ded193374c0b163b6. Questo è il tuo ID utente canonico.

Quando si crea una policy di bucket, è necessario disporre delle informazioni seguenti. Osserva questi valori:

Configura la AWS Command Line Interface (CLI) o la. AWS Tools for Windows PowerShell Assicurati di salvare le credenziali dell'utente amministratore come segue:

Per istruzioni, consulta Impostazione degli strumenti per le visite guidate.

Creare un bucket. In questo esercizio si presume che il nome del bucket sia amzn-s3-demo-bucket1.

Per istruzioni, consulta Creazione di un bucket.

Allega la seguente policy del bucket. La policy concede all'amministratore dell'account B l'autorizzazione condizionata a caricare gli oggetti.

Aggiorna la policy fornendo valori personalizzati per amzn-s3-demo-bucket1, AccountB-ID, e CanonicalUserId-of-AWSaccountA-BucketOwner.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "111",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::AccountB-ID:user/AccountBadmin"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*"
        },
        {
            "Sid": "112",
            "Effect": "Deny",
            "Principal": {
                "AWS": "arn:aws:iam::AccountB-ID:user/AccountBadmin"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*",
            "Condition": {
                "StringNotEquals": {
                    "s3:x-amz-grant-full-control": "id=CanonicalUserId-of-AWSaccountA-BucketOwner"
                }
            }
        }
    ]
}

Prima di creare il ruolo, preparare la policy gestita che definisce le autorizzazioni richieste dal ruolo. La policy verrà collegata al ruolo in una fase successiva.

1. Nel riquadro di navigazione a sinistra, seleziona Policy e poi Crea policy.

2. Accanto a Create Your Own Policy (Crea la tua policy) scegli Select (Seleziona).

3. Immettere access-accountA-bucket nel campo Policy Name (Nome policy).

4. Copiare la seguente policy di accesso e incollarla nel campo Policy Document (Documento policy). La policy di accesso concede l'autorizzazione al ruolo s3:GetObject, quindi, quando l'utente Account C assume il ruolo, può eseguire solo l'operazione s3:GetObject.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "s3:GetObject",
         "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*"
       }
     ]
   }

5. Scegliere Create Policy (Crea policy).

   La nuova policy viene inserita nell'elenco delle policy gestite.

Nel riquadro di navigazione a sinistra, scegli Ruoli e quindi Crea nuovo ruolo.

In Seleziona il tipo di ruolo, seleziona Ruolo per l'accesso su più account, quindi scegli il pulsante Seleziona accanto a Fornisci l'accesso tra i Account AWS tuoi utenti.

Immettere l'ID account dell'Account C.

Per questa guida, non è necessario richiedere agli utenti l'autenticazione a più fattori (MFA) per assumere il ruolo, quindi lasciare l'opzione deselezionata.

Scegli Fase successiva per impostare le autorizzazioni associate al ruolo.

Seleziona la casella di controllo accanto alla policy access-accountA-bucket creata, quindi scegli Fase successiva.

Viene visualizzata la pagina Review (Revisione) che consente di confermare le impostazioni per il ruolo prima che venga creato. Questa pagina contiene una voce molto importante, ossia il collegamento che è possibile inviare agli utenti che hanno necessità di utilizzare questo ruolo. Gli utenti che utilizzano il link accedono direttamente alla pagina Cambia ruolo con i campi ID account e Nome ruolo già compilati. Questo link è visibile anche in seguito nella pagina di riepilogo dei ruoli per qualsiasi multi-account.

Immetti examplerole per il nome del ruolo, quindi scegli Fase successiva.

Dopo aver esaminato il ruolo, scegli Crea ruolo.

Il ruolo examplerole viene visualizzato nell'elenco dei ruoli.

Scegli il nome del ruolo examplerole.

Selezionare la scheda Trust Relationships (Relazioni di trust).

Scegli Mostra documento della policy e verifica che la policy di attendibilità mostrata corrisponda alla policy seguente.

Le seguente policy di attendibilità stabilisce l'attendibilità con l'Account C, consentendogli di eseguire l'operazione sts:AssumeRole. Per ulteriori informazioni, consulta AssumeRole nel documento di riferimento delle API AWS Security Token Service

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::AccountC-ID:root"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Osserva il nome della risorsa Amazon (ARN) del ruolo examplerole creato.

Nelle fasi successive verrà illustrato come allegare una policy utente per consentire all'utente IAM di assumere questo ruolo e come identificare il ruolo mediante il valore ARN.

Utilizzando l'URL di accesso utente IAM per l'Account C, accedi innanzitutto all'utente AWS Management Console asAccountCadmin.

Nella console IAM, crea un utente, Dave.

Per step-by-step istruzioni, consulta Creating IAM users (AWS Management Console) nella IAM User Guide.

Annota le credenziali di Dave. Dave dovrà utilizzare queste credenziali per assumere il ruolo examplerole.

Crea una policy in linea per l'utente IAM Dave per delegare a Dave l'autorizzazione sts:AssumeRole sul ruolo examplerole nell'account A.

1. Nel riquadro di navigazione sinistro, scegli Utenti.

2. Scegli il nome utente Dave.

3. Nella pagina dei dettagli dell'utente, selezionare la scheda Permissions (Autorizzazioni), quindi espandere la sezione Inline Policies (Policy inline).

4. Scegliere click here (fai clic qui) oppure Create User Policy (Crea policy di utente).

5. Scegliere Custom Policy (Policy personalizzata) quindi Select (Seleziona).

6. Immettere un nome per la policy nel campo Policy Name (Nome policy).

7. Copiare la seguente policy nel campo Policy Document (Documento policy).

   È necessario aggiornare la policy fornendo AccountA-ID.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["sts:AssumeRole"],
         "Resource": "arn:aws:iam::AccountA-ID:role/examplerole"
       }
     ]
   }

8. Scegli Apply Policy (Applica policy).

Salva le credenziali di Dave nel file di configurazione di AWS CLI aggiungendo un altro profilo,. AccountCDave

[profile AccountCDave]
aws_access_key_id = UserDaveAccessKeyID
aws_secret_access_key = UserDaveSecretAccessKey
region = us-west-2

Al prompt dei comandi, esegui il AWS CLI assume-role comando seguente utilizzando il AccountCDave profilo.

È necessario aggiornare il valore ARN nel comando fornendo l'AccountA-ID dove è definito examplerole.

aws sts assume-role --role-arn arn:aws:iam::AccountA-ID:role/examplerole --profile AccountCDave --role-session-name test

In risposta, AWS Security Token Service (AWS STS) restituisce credenziali di sicurezza temporanee (ID della chiave di accesso, chiave di accesso segreta e un token di sessione).

Salva le credenziali di sicurezza temporanee nel file di AWS CLI configurazione sotto il profilo. TempCred

[profile TempCred]
aws_access_key_id = temp-access-key-ID
aws_secret_access_key = temp-secret-access-key
aws_session_token = session-token
region = us-west-2

Al prompt dei comandi, esegui il AWS CLI comando seguente per accedere agli oggetti utilizzando le credenziali temporanee. Ad esempio, il comando specifica l'API head-object per recuperare i metadata dell'oggetto per l'oggetto HappyFace.jpg.

aws s3api get-object --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg SaveFileAs.jpg --profile TempCred

Dal momento che la policy di accesso collegata a examplerole consente l'esecuzione delle operazioni, Amazon S3 elabora la richiesta. È possibile provare ad eseguire un'altra operazione su qualsiasi altro oggetto nel bucket.

Se si tenta un'altra azione, ad esempio get-object-acl, l'autorizzazione sarà negata perché il ruolo non è autorizzato a eseguire tale azione.

aws s3api get-object-acl --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg --profile TempCred

È stato utilizzato l'utente Dave per assumere il ruolo e accedere all'oggetto mediante le credenziali temporanee. L'accesso agli oggetti in amzn-s3-demo-bucket1 può essere effettuato anche da un'applicazione nell'Account C. L'applicazione può ottenere credenziali di sicurezza temporanee e l'Account C può delegare all'applicazione le autorizzazioni per assumere examplerole.

Una volta terminato il test, è possibile eseguire le seguenti operazioni di pulizia:

1. Accedi alla AWS Management Console utilizzando le credenziali dell'Account A e procedere come di seguito:

   • Nella console di Amazon S3 rimuovere la policy del bucket collegata a amzn-s3-demo-bucket1. Nelle Proprietà del bucket, elimina la policy nella sezione Autorizzazioni.

   • Se il bucket è stato creato per questo esercizio, nella console di Amazon S3 eliminare gli oggetti e quindi il bucket.

   • Nella console IAM, rimuovi l'account examplerole che hai creato nell'account A. Per step-by-step istruzioni, consulta Eliminazione di un utente IAM nella Guida per l'utente IAM.

   • Nella Console IAM, rimuovi l'utente AccountAadmin.

Accedi alla Console IAM utilizzando le credenziali dell'account B. Elimina l'utente AccountBadmin.

Accedi alla Console IAM utilizzando le credenziali dell'Account C. Elimina AccountCadmine l'utente Dave.