Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Come funziona S3 Files con IAM

Questa pagina descrive come funziona AWS Identity and Access Management (IAM) con S3 Files e come è possibile utilizzare le policy IAM per controllare l'accesso ai file system.

S3 Files utilizza IAM per due tipi distinti di controllo degli accessi:

Utilizzando IAM, è possibile consentire ai client di eseguire operazioni specifiche su un file system, incluso l'accesso di sola lettura, scrittura e root. Un'autorizzazione «consenti» per un'azione o in una policy di identità IAM o in una policy di risorse del file system consente l'accesso a tale azione. L'autorizzazione non deve essere concessa sia in una policy di identità sia in una policy delle risorse.

Le politiche del bucket S3 sul bucket S3 collegato regolano anche l'accesso dalla risorsa di elaborazione e dal file system al bucket S3. È inoltre necessario assicurarsi che le politiche dei bucket del bucket di origine non neghino l'accesso alla risorsa di elaborazione o al file system. Per maggiori dettagli, consulta le politiche dei bucket per Amazon S3.

Identity-based politiche

Identity-based le policy sono policy JSON da allegare a utenti, gruppi o ruoli IAM. Puoi fornire queste autorizzazioni scrivendo policy personalizzate o allegando una AWS policy gestita. Per ulteriori informazioni sulle politiche gestite disponibili sia per l'accesso alle API che per l'accesso dei client, consulta le politiche AWS gestite per Amazon S3 Files.

S3 Files ottimizza anche le prestazioni di lettura consentendo ai client di leggere i dati dei file direttamente dal bucket S3 di origine. Quando si monta un file system S3 sulla risorsa di calcolo, è necessario aggiungere una policy in linea al ruolo IAM della risorsa di calcolo che conceda le autorizzazioni per leggere gli oggetti dal bucket S3 specificato. L'helper di montaggio utilizza queste autorizzazioni per leggere i dati S3. Per maggiori dettagli su questa politica, consulta. Ruolo IAM per collegare il tuo file system a AWS risorse di calcolo

Resource-based politiche

Una policy del file system è una policy basata sulle risorse IAM che si allega direttamente a un file system per controllare l'accesso dei client. È possibile utilizzare le politiche del file system per concedere o negare ai client le autorizzazioni per eseguire operazioni come il montaggio, la scrittura e l'accesso root.

Un file system ha una politica del file system vuota (predefinita) o esattamente una politica esplicita. Le policy del file system S3 hanno un limite di 20.000 caratteri. Per informazioni sulla creazione e la gestione delle politiche del file system, vedere. Creazione di policy del file system

Azioni relative ai file S3 per i client

È possibile specificare le seguenti azioni in una politica del file system per controllare l'accesso dei client:

Chiavi di condizione dei file S3 per i client

È possibile utilizzare le seguenti chiavi di condizione nell'Conditionelemento di una politica del file system per perfezionare ulteriormente il controllo degli accessi:

Esempi di policy del file system

Esempio: concedere accesso in sola lettura

La seguente politica del file system concede solo autorizzazioni ClientMount (di sola lettura) al ruolo IAM. ReadOnly Sostituisci 111122223333 con l'ID del tuo account. AWS

{
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:role/ReadOnly"
            },
            "Action": [
                "s3files:ClientMount"
            ]
        }
    ]
}

Esempio: concedere l'accesso a un punto di accesso S3 Files

La seguente politica del file system utilizza un elemento condizionale per concedere a un punto di accesso specifico l'accesso completo al file system durante il montaggio tramite il punto di accesso specificato. Sostituisci l'ARN del punto di accesso e l'ID dell'account con i tuoi valori. Per ulteriori informazioni, consulta Creazione di punti di accesso per un file system S3.

{
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::555555555555:role/S3FilesAccessPointFullAccess"
            },
            "Action": [
                "s3files:Client*"
            ],
            "Condition": {
                "StringEquals": {
                    "s3files:AccessPointArn": "arn:partition:s3files:region:account-id:file-system/fs-1234567890/access-point/fsap-0987654321"
                }
            }
        }
    ]
}

Autorizzazioni POSIX

Dopo il successo dell'autorizzazione IAM, S3 Files applica le autorizzazioni POSIX (Unix-style) standard a livello di file e directory. Le autorizzazioni POSIX controllano l'accesso in base all'ID utente (UID), all'ID di gruppo (GID) e ai bit di autorizzazione (lettura, scrittura, esecuzione) associati a ciascun file e directory. I punti di accesso possono imporre un'identità utente POSIX specifica per tutte le richieste, semplificando la gestione degli accessi per i set di dati condivisi. Per ulteriori informazioni, consulta Creazione di punti di accesso per un file system S3.

Gruppi di sicurezza

I gruppi di sicurezza agiscono come un firewall a livello di rete che controlla il traffico tra le risorse di calcolo e le destinazioni di montaggio del file system. Per dettagli sulla configurazione dei gruppi di sicurezza per iniziare a usare S3 Files, consulta. Gruppi di sicurezza