Esempio 4: il proprietario del bucket concede l'autorizzazione di più account a oggetti di cui non è proprietario

Assicurati di averne tre Account AWS e ogni account ha un utente amministratore, come mostrato nella tabella nella sezione precedente.

1. Registrati per Account AWS, se necessario. Si fa riferimento a questi account come Account A, Account B e Account C.

2. Utilizzando le credenziali dell'Account A, accedi alla IAMconsole ed esegui le seguenti operazioni per creare un utente amministratore:

   • Crea l'utente AccountAadmin e annota le sue credenziali di sicurezza. Per ulteriori informazioni sull'aggiunta di utenti, vedi Creazione di un IAM utente in Account AWS nella Guida per l'utente di IAM.

   • Concedi i privilegi di amministratore AccountAadminallegando una politica utente che dia accesso completo. Per istruzioni, consulta la sezione Gestione delle IAM politiche nella Guida per l'IAMutente.

   • Nella dashboard della IAM console, annota l'accesso IAM URL dell'utente. Gli utenti di questo account devono utilizzarlo URL quando accedono a AWS Management Console. Per ulteriori informazioni, consulta Accedere a AWS Management Console come IAM utente nella Guida per l'IAMutente.

3. Ripetere la fase precedente per creare utenti amministratore nell'Account B e nell'Account C.

Per l'Account C, annota l'ID utente canonico.

Quando crei un IAM ruolo nell'Account A, la politica di fiducia concede all'Account C l'autorizzazione ad assumere il ruolo specificando l'ID dell'account. È possibile trovare informazioni sull'account come indicato di seguito:

1. Usa il tuo Account AWS ID o alias IAM dell'account, nome utente e password per accedere alla console Amazon S3.

2. Scegliere il nome di un bucket Amazon S3 per visualizzare i relativi dettagli.

3. Selezionare la scheda Permissions (Autorizzazioni) e selezionare Access Control List (Lista di controllo accessi).

4. Nella sezione Access for your Account AWSnella colonna Account, nella colonna Account è presente un identificatore lungo, ad esempioc1daexampleaaf850ea79cf0430f33d72579fd1611c97f7ded193374c0b163b6. Questo è il tuo ID utente canonico.

Quando si crea una policy di bucket, è necessario disporre delle informazioni seguenti. Nota questi valori:

Configura uno dei due AWS Command Line Interface (CLI) o AWS Tools for Windows PowerShell. Assicurati di salvare le credenziali dell'utente amministratore come segue:

Per istruzioni, consulta Configurazione degli strumenti per le procedure dettagliate.

Creare un bucket. In questo esercizio si presume che il nome del bucket sia amzn-s3-demo-bucket1.

Per istruzioni, consulta Creazione di un bucket.

Allega la seguente policy sui bucket. La politica concede l'autorizzazione condizionata all'amministratore dell'Account B per caricare oggetti.

Aggiorna la politica fornendo i tuoi valori per amzn-s3-demo-bucket1AccountB-ID, e il. CanonicalUserId-of-AWSaccountA-BucketOwner

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "111",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::AccountB-ID:user/AccountBadmin"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*"
        },
        {
            "Sid": "112",
            "Effect": "Deny",
            "Principal": {
                "AWS": "arn:aws:iam::AccountB-ID:user/AccountBadmin"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*",
            "Condition": {
                "StringNotEquals": {
                    "s3:x-amz-grant-full-control": "id=CanonicalUserId-of-AWSaccountA-BucketOwner"
                }
            }
        }
    ]
}

Prima di creare il ruolo, preparare la policy gestita che definisce le autorizzazioni richieste dal ruolo. La policy verrà collegata al ruolo in una fase successiva.

1. Nel riquadro di navigazione a sinistra, scegli Politiche, quindi scegli Crea politica.

2. Accanto a Create Your Own Policy (Crea la tua policy) scegli Select (Seleziona).

3. Immettere access-accountA-bucket nel campo Policy Name (Nome policy).

4. Copiare la seguente policy di accesso e incollarla nel campo Policy Document (Documento policy). La politica di accesso concede l's3:GetObjectautorizzazione al ruolo, quindi, quando l'utente dell'Account C assume il ruolo, può solo eseguire l's3:GetObjectoperazione.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "s3:GetObject",
         "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*"
       }
     ]
   }

5. Scegliere Create Policy (Crea policy).

   La nuova policy viene inserita nell'elenco delle policy gestite.

Nel riquadro di navigazione a sinistra, scegli Ruoli, quindi scegli Crea nuovo ruolo.

In Seleziona tipo di ruolo, seleziona Ruolo per l'accesso su più account, quindi scegli il pulsante Seleziona accanto a Fornisci accesso tra Account AWS sei il proprietario.

Immettere l'ID account dell'Account C.

Per questa procedura dettagliata, non è necessario richiedere agli utenti di disporre dell'autenticazione a più fattori (MFA) per assumere il ruolo, quindi lascia questa opzione deselezionata.

Scegliete Passaggio successivo per impostare le autorizzazioni che verranno associate al ruolo.

Seleziona la casella di controllo accanto alla policy Access-AccountA-Bucket che hai creato, quindi scegli Passaggio successivo.

Viene visualizzata la pagina Review (Revisione) che consente di confermare le impostazioni per il ruolo prima che venga creato. Questa pagina contiene una voce molto importante, ossia il collegamento che è possibile inviare agli utenti che hanno necessità di utilizzare questo ruolo. Gli utenti che utilizzano il link accedono direttamente alla pagina Cambia ruolo con i campi ID account e Nome ruolo già compilati. Puoi anche vedere questo link più avanti nella pagina di riepilogo del ruolo per qualsiasi ruolo tra account.

Immetti examplerole il nome del ruolo, quindi scegli Passaggio successivo.

Dopo aver esaminato il ruolo, scegli Crea ruolo.

Il ruolo examplerole viene visualizzato nell'elenco dei ruoli.

Scegli il nome del ruoloexamplerole.

Selezionare la scheda Trust Relationships (Relazioni di trust).

Scegli Mostra il documento della politica e verifica che la politica di fiducia mostrata corrisponda alla seguente politica.

Le seguente policy di attendibilità stabilisce l'attendibilità con l'Account C, consentendogli di eseguire l'operazione sts:AssumeRole. Per ulteriori informazioni, consulta AssumeRole nella AWS Security Token Service APIRiferimento.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::AccountC-ID:root"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Annota l'Amazon Resource Name (ARN) del examplerole ruolo che hai creato.

Più avanti nei passaggi seguenti, alleghi una policy utente per consentire a un IAM utente di assumere questo ruolo e identifichi il ruolo in base al ARN valore.

Utilizzando l'accesso IAM utente URL per l'Account C, accedi prima a AWS Management Console come AccountCadmin utente.

Nella IAMconsole, crea un utente, Dave.

Per step-by-step istruzioni, consulta Creazione di IAM utenti (AWS Management Console) nella Guida IAM per l'utente.

Nota le credenziali di Dave. Dave dovrà utilizzare queste credenziali per assumere il ruolo examplerole.

Crea una policy in linea per consentire all'IAMutente Dave di delegare l'sts:AssumeRoleautorizzazione a Dave per il ruolo nell'Account A. examplerole

1. Nel riquadro di navigazione sinistro, scegli Utenti.

2. Scegli il nome utente Dave.

3. Nella pagina dei dettagli dell'utente, selezionare la scheda Permissions (Autorizzazioni), quindi espandere la sezione Inline Policies (Policy inline).

4. Scegliere click here (fai clic qui) oppure Create User Policy (Crea policy di utente).

5. Scegliere Custom Policy (Policy personalizzata) quindi Select (Seleziona).

6. Immettere un nome per la policy nel campo Policy Name (Nome policy).

7. Copiare la seguente policy nel campo Policy Document (Documento policy).

   È necessario aggiornare la politica fornendo ilAccountA-ID.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["sts:AssumeRole"],
         "Resource": "arn:aws:iam::AccountA-ID:role/examplerole"
       }
     ]
   }

8. Scegli Apply Policy (Applica policy).

Salva le credenziali di Dave nel file di configurazione di AWS CLI aggiungendo un altro profilo,. AccountCDave

[profile AccountCDave]
aws_access_key_id = UserDaveAccessKeyID
aws_secret_access_key = UserDaveSecretAccessKey
region = us-west-2

Al prompt dei comandi, esegui quanto segue AWS CLI assume-rolecomando che utilizza il AccountCDave profilo.

È necessario aggiornare il ARN valore nel comando specificando AccountA-ID dove examplerole è definito.

aws sts assume-role --role-arn arn:aws:iam::AccountA-ID:role/examplerole --profile AccountCDave --role-session-name test

In risposta, AWS Security Token Service (AWS STS) restituisce credenziali di sicurezza temporanee (ID della chiave di accesso, chiave di accesso segreta e un token di sessione).

Salvare le credenziali di sicurezza temporanee nella AWS CLI file di configurazione sotto il TempCred profilo.

[profile TempCred]
aws_access_key_id = temp-access-key-ID
aws_secret_access_key = temp-secret-access-key
aws_session_token = session-token
region = us-west-2

Al prompt dei comandi, esegui quanto segue AWS CLI comando per accedere agli oggetti utilizzando le credenziali temporanee. Ad esempio, il comando specifica l'oggetto head-object API per recuperare i metadati dell'oggetto. HappyFace.jpg

aws s3api get-object --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg SaveFileAs.jpg --profile TempCred

Dal momento che la policy di accesso collegata a examplerole consente l'esecuzione delle operazioni, Amazon S3 elabora la richiesta. È possibile provare ad eseguire un'altra operazione su qualsiasi altro oggetto nel bucket.

Se provi qualsiasi altra azione, ad esempio, get-object-acl ti verrà negata l'autorizzazione perché al ruolo non è consentita quell'azione.

aws s3api get-object-acl --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg --profile TempCred

È stato utilizzato l'utente Dave per assumere il ruolo e accedere all'oggetto mediante le credenziali temporanee. L'accesso agli oggetti in amzn-s3-demo-bucket1 può essere effettuato anche da un'applicazione nell'Account C. L'applicazione può ottenere credenziali di sicurezza temporanee e l'Account C può delegare all'applicazione le autorizzazioni per assumere examplerole.

Dopo aver terminato il test, puoi effettuare le seguenti operazioni per ripulire:

1. Accedi a AWS Management Consoleutilizzando le credenziali dell'Account A ed esegui le seguenti operazioni:

   • Nella console di Amazon S3 rimuovere la policy del bucket collegata a amzn-s3-demo-bucket1. Nella sezione Properties (Proprietà) del bucket, eliminare la policy nella sezione Permissions (Autorizzazioni).

   • Se il bucket è stato creato per questo esercizio, nella console di Amazon S3 eliminare gli oggetti e quindi il bucket.

   • Nella IAMConsole, rimuovi le creazioni examplerole che hai creato nell'Account A. Per step-by-step istruzioni, consulta Eliminazione di un IAM utente nella Guida per l'IAMutente.

   • Nella IAMconsole, rimuovi l'AccountAadminutente.

Accedi alla IAMconsole utilizzando le credenziali dell'account B. Eliminare l'utente AccountBadmin.

Accedi alla IAMconsole utilizzando le credenziali dell'account C. Delete AccountCadmine l'utente Dave.