Esempio 4: il proprietario del bucket concede l'autorizzazione di più account a oggetti di cui non è proprietario

Assicurati di averne tre Account AWS e che ogni account abbia un utente amministratore, come mostrato nella tabella nella sezione precedente.

1. Iscriviti a Account AWS, se necessario. Si fa riferimento a questi account come Account A, Account B e Account C.

2. Utilizzando le credenziali dell'Account A, accedi alla IAMconsole ed esegui le seguenti operazioni per creare un utente amministratore:

   • Crea l'utente AccountAadmin e annota le sue credenziali di sicurezza. Per ulteriori informazioni sull'aggiunta di utenti, consulta Creating an IAM user in your Account AWS nella Guida per l'IAMutente.

   • Concedi i privilegi di amministratore AccountAadminallegando una politica utente che dia accesso completo. Per istruzioni, consulta Gestione delle IAM politiche nella Guida per l'IAMutente.

   • Nella dashboard della IAM console, annota l'accesso IAM URL dell'utente. Gli utenti di questo account devono utilizzarlo URL quando accedono a. AWS Management Console Per ulteriori informazioni, consulta Accedere AWS Management Console come IAM utente nella Guida per l'IAMutente.

3. Ripetere la fase precedente per creare utenti amministratore nell'Account B e nell'Account C.

Per l'Account C, annota l'ID utente canonico.

Quando crei un IAM ruolo nell'Account A, la politica di fiducia concede all'Account C l'autorizzazione ad assumere il ruolo specificando l'ID dell'account. È possibile trovare informazioni sull'account come indicato di seguito:

1. Usa il tuo Account AWS ID o alias dell'account, il tuo nome IAM utente e la password per accedere alla console Amazon S3.

2. Scegliere il nome di un bucket Amazon S3 per visualizzare i relativi dettagli.

3. Selezionare la scheda Permissions (Autorizzazioni) e selezionare Access Control List (Lista di controllo accessi).

4. Nella sezione Accesso per il tuo Account AWS, nella colonna Account è presente un identificatore lungo, come c1daexampleaaf850ea79cf0430f33d72579fd1611c97f7ded193374c0b163b6. Questo è il tuo ID utente canonico.

Quando si crea una policy di bucket, è necessario disporre delle informazioni seguenti. Prendi nota di questi valori:

Imposta il AWS Command Line Interface (CLI) o il AWS Tools for Windows PowerShell. Assicuratevi di salvare le credenziali dell'utente amministratore come segue:

Per istruzioni, consulta Configurazione degli strumenti per le procedure dettagliate.

Creare un bucket. In questo esercizio si presume che il nome del bucket sia amzn-s3-demo-bucket1.

Per istruzioni, consulta Creazione di un bucket.

Allega la seguente policy sui bucket. La politica concede l'autorizzazione condizionata all'amministratore dell'Account B per caricare oggetti.

Aggiorna la politica fornendo i tuoi valori per amzn-s3-demo-bucket1AccountB-ID, e il. CanonicalUserId-of-AWSaccountA-BucketOwner

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "111",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::AccountB-ID:user/AccountBadmin"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*"
        },
        {
            "Sid": "112",
            "Effect": "Deny",
            "Principal": {
                "AWS": "arn:aws:iam::AccountB-ID:user/AccountBadmin"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*",
            "Condition": {
                "StringNotEquals": {
                    "s3:x-amz-grant-full-control": "id=CanonicalUserId-of-AWSaccountA-BucketOwner"
                }
            }
        }
    ]
}

Prima di creare il ruolo, preparare la policy gestita che definisce le autorizzazioni richieste dal ruolo. La policy verrà collegata al ruolo in una fase successiva.

1. Nel riquadro di navigazione a sinistra, scegli Politiche, quindi scegli Crea politica.

2. Accanto a Create Your Own Policy (Crea la tua policy) scegli Select (Seleziona).

3. Immettere access-accountA-bucket nel campo Policy Name (Nome policy).

4. Copiare la seguente policy di accesso e incollarla nel campo Policy Document (Documento policy). La politica di accesso concede l's3:GetObjectautorizzazione al ruolo, quindi, quando l'utente dell'Account C assume il ruolo, può solo eseguire l's3:GetObjectoperazione.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "s3:GetObject",
         "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*"
       }
     ]
   }

5. Scegliere Create Policy (Crea policy).

   La nuova policy viene inserita nell'elenco delle policy gestite.

Nel riquadro di navigazione a sinistra, scegli Ruoli, quindi scegli Crea nuovo ruolo.

In Seleziona tipo di ruolo, seleziona Ruolo per l'accesso su più account, quindi scegli il pulsante Seleziona accanto a Fornisci l'accesso tra i Account AWS tuoi utenti.

Immettere l'ID account dell'Account C.

Per questa procedura dettagliata, non è necessario richiedere agli utenti di disporre dell'autenticazione a più fattori (MFA) per assumere il ruolo, quindi lascia questa opzione deselezionata.

Scegliete Passaggio successivo per impostare le autorizzazioni che verranno associate al ruolo.

Seleziona la casella di controllo accanto alla policy Access-AccountA-Bucket che hai creato, quindi scegli Passaggio successivo.

Viene visualizzata la pagina Review (Revisione) che consente di confermare le impostazioni per il ruolo prima che venga creato. Questa pagina contiene una voce molto importante, ossia il collegamento che è possibile inviare agli utenti che hanno necessità di utilizzare questo ruolo. Gli utenti che utilizzano il link accedono direttamente alla pagina Cambia ruolo con i campi ID account e Nome ruolo già compilati. Puoi anche vedere questo link più avanti nella pagina di riepilogo del ruolo per qualsiasi ruolo tra account.

Immetti examplerole il nome del ruolo, quindi scegli Passaggio successivo.

Dopo aver esaminato il ruolo, scegli Crea ruolo.

Il ruolo examplerole viene visualizzato nell'elenco dei ruoli.

Scegli il nome del ruoloexamplerole.

Selezionare la scheda Trust Relationships (Relazioni di trust).

Scegli Mostra il documento della politica e verifica che la politica di fiducia mostrata corrisponda alla seguente politica.

Le seguente policy di attendibilità stabilisce l'attendibilità con l'Account C, consentendogli di eseguire l'operazione sts:AssumeRole. Per ulteriori informazioni, consulta AssumeRolenel AWS Security Token Service APIReference.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::AccountC-ID:root"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Annota l'Amazon Resource Name (ARN) del examplerole ruolo che hai creato.

Più avanti nei passaggi seguenti, alleghi una policy utente per consentire a un IAM utente di assumere questo ruolo e identifichi il ruolo in base al ARN valore.

Utilizzando l'accesso IAM utente URL per l'Account C, accedi prima all'account AWS Management Console come AccountCadmin utente.

Nella IAMConsole, crea un utente, Dave.

Per step-by-step istruzioni, consulta Creazione di IAM utenti (AWS Management Console) nella Guida per l'IAMutente.

Annotate le credenziali di Dave. Dave dovrà utilizzare queste credenziali per assumere il ruolo examplerole.

Crea una politica in linea per consentire all'IAMutente Dave di delegare l'sts:AssumeRoleautorizzazione a Dave sul ruolo nell'Account A. examplerole

1. Nel riquadro di navigazione sinistro, scegli Utenti.

2. Scegli il nome utente Dave.

3. Nella pagina dei dettagli dell'utente, selezionare la scheda Permissions (Autorizzazioni), quindi espandere la sezione Inline Policies (Policy inline).

4. Scegliere click here (fai clic qui) oppure Create User Policy (Crea policy di utente).

5. Scegliere Custom Policy (Policy personalizzata) quindi Select (Seleziona).

6. Immettere un nome per la policy nel campo Policy Name (Nome policy).

7. Copiare la seguente policy nel campo Policy Document (Documento policy).

   È necessario aggiornare la politica fornendo ilAccountA-ID.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["sts:AssumeRole"],
         "Resource": "arn:aws:iam::AccountA-ID:role/examplerole"
       }
     ]
   }

8. Scegli Apply Policy (Applica policy).

Salva le credenziali di Dave nel file di configurazione di AWS CLI aggiungendo un altro profilo,. AccountCDave

[profile AccountCDave]
aws_access_key_id = UserDaveAccessKeyID
aws_secret_access_key = UserDaveSecretAccessKey
region = us-west-2

Al prompt dei comandi, esegui il AWS CLI assume-role comando seguente utilizzando il AccountCDave profilo.

È necessario aggiornare il ARN valore nel comando specificando AccountA-ID dove examplerole è definito.

aws sts assume-role --role-arn arn:aws:iam::AccountA-ID:role/examplerole --profile AccountCDave --role-session-name test

In risposta, AWS Security Token Service (AWS STS) restituisce credenziali di sicurezza temporanee (ID della chiave di accesso, chiave di accesso segreta e un token di sessione).

Salva le credenziali di sicurezza temporanee nel file di AWS CLI configurazione sotto il profilo. TempCred

[profile TempCred]
aws_access_key_id = temp-access-key-ID
aws_secret_access_key = temp-secret-access-key
aws_session_token = session-token
region = us-west-2

Al prompt dei comandi, esegui il AWS CLI comando seguente per accedere agli oggetti utilizzando le credenziali temporanee. Ad esempio, il comando specifica l'oggetto API head-per recuperare i metadati dell'oggetto. HappyFace.jpg

aws s3api get-object --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg SaveFileAs.jpg --profile TempCred

Dal momento che la policy di accesso collegata a examplerole consente l'esecuzione delle operazioni, Amazon S3 elabora la richiesta. È possibile provare ad eseguire un'altra operazione su qualsiasi altro oggetto nel bucket.

Se provi qualsiasi altra azione, ad esempio, get-object-acl ti verrà negata l'autorizzazione perché al ruolo non è consentita quell'azione.

aws s3api get-object-acl --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg --profile TempCred

È stato utilizzato l'utente Dave per assumere il ruolo e accedere all'oggetto mediante le credenziali temporanee. L'accesso agli oggetti in amzn-s3-demo-bucket1 può essere effettuato anche da un'applicazione nell'Account C. L'applicazione può ottenere credenziali di sicurezza temporanee e l'Account C può delegare all'applicazione le autorizzazioni per assumere examplerole.

Dopo aver terminato il test, puoi effettuare le seguenti operazioni per ripulire:

1. Accedi alla AWS Management Console utilizzando le credenziali dell'Account A e procedere come di seguito:

   • Nella console di Amazon S3 rimuovere la policy del bucket collegata a amzn-s3-demo-bucket1. Nella sezione Properties (Proprietà) del bucket, eliminare la policy nella sezione Permissions (Autorizzazioni).

   • Se il bucket è stato creato per questo esercizio, nella console di Amazon S3 eliminare gli oggetti e quindi il bucket.

   • Nella IAMconsole, rimuovi examplerole quello che hai creato nell'Account A. Per step-by-step istruzioni, consulta Eliminazione di un IAM utente nella Guida per l'IAMutente.

   • Nella IAMconsole, rimuovi l'AccountAadminutente.

Accedi alla IAMconsole utilizzando le credenziali dell'account B. Eliminare l'utente AccountBadmin.

Accedi alla IAMconsole utilizzando le credenziali dell'account C. Delete AccountCadmine l'utente Dave.