IAMtutorial: delega l'accesso attraverso AWS account che utilizzano ruoli IAM

Accedi a AWS Management Console come amministratore dell'account Originating e apri la IAM console all'indirizzo https://console.aws.amazon.com/iam/.

Nella IAM console, scegli il tuo nome utente nella barra di navigazione in alto a destra. In genere ha il seguente aspetto: username@account_ID_number_or_alias.

In questo scenario, puoi utilizzare l'ID account 1111 per l'account di origine. Tuttavia, devi utilizzare un ID account valido se stai usando questo scenario nell'ambiente di test.

Accedi al AWS Management Console come amministratore dell'account di destinazione e apri la IAM console.

Prima di creare il ruolo, prepara la policy gestita che definisce le autorizzazioni per i requisiti del ruolo. La policy verrà collegata al ruolo in una fase successiva.

Impostare l'accesso in lettura e scrittura al bucket amzn-s3-demo-bucket-shared-container. Sebbene AWS fornisce alcune policy gestite di Amazon S3, non ce n'è una che fornisca l'accesso in lettura e scrittura a un singolo bucket Amazon S3. Se lo desideri, puoi creare una policy personalizzata.

Nel pannello di navigazione, seleziona Policy e Crea policy.

Scegli la JSONscheda e copia il testo dal seguente JSON documento di policy. Incolla questo testo nella casella di JSONtesto, sostituendo la risorsa ARN (arn:aws:s3:::shared-container) con quella reale per il tuo bucket Amazon S3.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "s3:ListAllMyBuckets",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket",
        "s3:GetBucketLocation"
       ],
      "Resource": "arn:aws:s3:::amzn-s3-demo-bucket-shared-container"
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:PutObject",
        "s3:DeleteObject"
      ],
      "Resource": "arn:aws:s3:::amzn-s3-demo-bucket-shared-container/*"
    }
  ]
}

L’azione ListAllMyBuckets concede l'autorizzazione per elencare tutti i bucket di proprietà del mittente autenticato della richiesta. L'autorizzazione ListBucket consente agli utenti di visualizzare gli oggetti del bucket amzn-s3-demo-bucket-shared-container. Le autorizzazioni GetObject, PutObject e DeleteObject consentono agli utenti di visualizzare, aggiornare ed eliminare i contenuti del bucket amzn-s3-demo-bucket-shared-container.

Nella pagina Verifica policy, digita read-write-app-bucket come nome della policy. Esamina le autorizzazioni concesse dalla policy, quindi scegli Crea policy per salvare il lavoro.

La nuova policy viene inserita nell'elenco delle policy gestite.

Nel riquadro di navigazione, scegli Ruoli, quindi Crea ruolo.

Scegli An Account AWStipo di ruolo.

Per ID account, digita l'ID dell'account di origine.

Questo tutorial utilizza l'ID account di esempio 111111111111 per l'account di origine. Tuttavia, è consigliabile utilizzare un ID account valido. Se utilizzi un ID account non valido, ad esempio111111111111, IAM non ti consente di creare il nuovo ruolo.

Per ora non è necessario richiedere un ID esterno o richiedere agli utenti di disporre dell'autenticazione a più fattori (MFA) per assumere il ruolo. Tali opzioni possono rimanere deselezionate. Per ulteriori informazioni, consulta AWS Autenticazione a più fattori in IAM.

Selezionare Next:Permissions (Avanti:Autorizzazioni) per impostare le autorizzazioni associate al ruolo.

Seleziona la casella accanto alla policy creata in precedenza.

Quindi, seleziona Next (Successivo).

(Facoltativo) Aggiungi metadati al ruolo collegando i tag come coppie chiave-valore. Per ulteriori informazioni sull'utilizzo dei tag inIAM, consultaTag per AWS Identity and Access Management le risorse.

(Facoltativo) In Description (Descrizione), inserisci una descrizione per il nuovo ruolo.

Dopo avere rivisto il ruolo, fare clic su Create Role (Crea ruolo).

Il ruolo UpdateData viene visualizzato nell'elenco dei ruoli.

Nel riquadro di navigazione della IAM console, scegli Ruoli.

Nell'elenco dei ruoli, selezionare il ruolo UpdateData.

Nella sezione Riepilogo del riquadro dei dettagli, copia il ARN valore del ruolo.

L'account di destinazione ha un ID account pari a 9999, quindi il ruolo ARN èarn:aws:iam::999999999999:role/UpdateData. Assicurati di fornire il codice reale Account AWS ID dell'account di destinazione.

Accedi come amministratore nell'account Originating e apri la IAM console.

Scegli Ruoli, quindi scegli Sviluppatori.

Seleziona la scheda Autorizzazioni, quindi Aggiungi autorizzazioni e Crea policy in linea.

Scegli la JSONscheda.

Aggiungi la seguente dichiarazione politica per consentire l'AssumeRoleazione sul UpdateData ruolo nell'account di destinazione. Assicurati di cambiare DESTINATION-ACCOUNT-ID dall'Resourceelemento all'attuale Account AWS ID dell'account di destinazione.

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": "sts:AssumeRole",
    "Resource": "arn:aws:iam::DESTINATION-ACCOUNT-ID:role/UpdateData"
  }
}

L'Alloweffetto consente esplicitamente al gruppo di sviluppatori di accedere al UpdateData ruolo nell'account di destinazione. Qualsiasi sviluppatore potrà accedere al ruolo.

Scegli Verifica policy.

Digita un nome, ad esempio allow-assume-S3-role-in-destination.

Scegli Create Policy (Crea policy).

Scegli Ruoli, quindi scegli Analisti.

Seleziona la scheda Autorizzazioni, quindi Aggiungi autorizzazioni e Crea policy in linea.

Scegli la JSONscheda.

Aggiungere la seguente istruzione di policy per negare l'operazione AssumeRole nel ruolo UpdateData. Assicurati di cambiare DESTINATION-ACCOUNT-ID dall'Resourceelemento all'attuale Account AWS ID dell'account di destinazione.

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Deny",
    "Action": "sts:AssumeRole",
    "Resource": "arn:aws:iam::DESTINATION-ACCOUNT-ID:role/UpdateData"
  }
}

L'Denyeffetto nega esplicitamente al gruppo Analysts l'accesso al UpdateData ruolo nell'account di destinazione. Qualsiasi analista che tenta di accedere al ruolo riceve un messaggio di accesso negato.

Scegli Verifica policy.

Digita un nome come deny-assume-S3-role-in-destination.

Scegli Create Policy (Crea policy).

David accede al AWS Management Console utilizzando il suo utente normale nell'account Originating.

Seleziona il link che l'amministratore gli ha inviato per e-mail. A questo punto, David viene indirizzato alla pagina Switch Role (Cambia ruolo) che contiene già le informazioni relative all'ID account o all'alias e il nome del ruolo.

oppure

David seleziona il proprio nome nel menu Identity (Identità) della barra di navigazione, quindi sceglie Switch Roles (Cambia ruolo).

Se questa è la prima volta che David cerca di accedere alla pagina Switch Role (Cambia ruolo) in questo modo, verrà visualizzata una pagina introduttiva di Switch Role (Cambia ruolo) Questa pagina fornisce informazioni aggiuntive su come il cambio di ruolo può consentire agli utenti di gestire le risorse tra Account AWS. David deve scegliere Switch Role in questa pagina per completare il resto di questa procedura.

Successivamente, per accedere al ruolo, David deve digitare manualmente il numero ID dell'account di destinazione (999999999999) e il nome del ruolo (UpdateData).

Inoltre, David desidera monitorare i ruoli e le autorizzazioni associate attualmente attivi. IAM Per tenere traccia di queste informazioni, digita Destination nella casella di testo Nome di visualizzazione, seleziona l'opzione di colore rosso e quindi seleziona Cambia ruolo.

Ora David può utilizzare la console Amazon S3 per lavorare con il bucket Amazon S3 o con qualsiasi altra risorsa per la quale il ruolo UpdateData dispone di autorizzazioni.

Al termine, David può tornare alle sue autorizzazioni originali. Per farlo, scelgono il nome visualizzato del ruolo Destinazione nella barra di navigazione, quindi scelgono Torna a David @ 1111.

La prossima volta che David desidera cambiare ruolo e sceglie il menu Identità nella barra di navigazione, vedrà la voce Destinazione ancora presente dall'ultima volta. Non dovrà fare altro che selezionare tale voce per cambiare immediatamente ruolo, senza immettere nuovamente l'account ID e il nome del ruolo.

David apre una finestra del prompt dei comandi e conferma che AWS CLI il client funziona eseguendo il comando:

aws help

Inizia il processo di cambio di ruolo eseguendo il seguente comando per passare al UpdateData ruolo nell'account di destinazione. Ha ricevuto il ruolo ARN dall'amministratore che lo ha creato. Il comando richiede anche un nome di sessione (qualsiasi testo è valido).

aws sts assume-role --role-arn "arn:aws:iam::999999999999:role/UpdateData" --role-session-name "David-ProdUpdate"

A questo punto David potrà consultare quanto segue:

{
    "Credentials": {
        "SecretAccessKey": "wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY",
        "SessionToken": "AQoDYXdzEGcaEXAMPLE2gsYULo+Im5ZEXAMPLEeYjs1M2FUIgIJx9tQqNMBEXAMPLE
CvSRyh0FW7jEXAMPLEW+vE/7s1HRpXviG7b+qYf4nD00EXAMPLEmj4wxS04L/uZEXAMPLECihzFB5lTYLto9dyBgSDy
EXAMPLE9/g7QRUhZp4bqbEXAMPLENwGPyOj59pFA4lNKCIkVgkREXAMPLEjlzxQ7y52gekeVEXAMPLEDiB9ST3Uuysg
sKdEXAMPLE1TVastU1A0SKFEXAMPLEiywCC/Cs8EXAMPLEpZgOs+6hz4AP4KEXAMPLERbASP+4eZScEXAMPLEsnf87e
NhyDHq6ikBQ==",
        "Expiration": "2014-12-11T23:08:07Z",
        "AccessKeyId": "AKIAIOSFODNN7EXAMPLE"
    }
}

David può trovare le tre parti di cui ha bisogno nella sezione Credentials (Credenziali) dell'output.

David deve configurare il AWS CLI ambiente per utilizzare questi parametri nelle chiamate successive. Per informazioni sui vari modi di configurare le credenziali, vedere Configurazione di AWS Command Line Interface. Non è possibile utilizzare il aws configure comando perché non supporta l'acquisizione del token di sessione. Tuttavia, può inserire manualmente le informazioni in un file di configurazione. Poiché si tratta di credenziali provvisorie, con una durata relativamente breve, è più facile per aggiungerle all'ambiente della sessione corrente della riga di comando.

Per aggiungere i tre valori all'ambiente, David taglia e incolla l'output del passaggio precedente nei comandi seguenti. Per risolvere i problemi con gli accapo presenti nel token della sessione, è possibile tagliare e incollare in un semplice editor di testo. Il testo deve essere inserito come un'unica stringa lunga, anche se qui viene riportato spezzato, per motivi di chiarezza.

L'esempio seguente mostra i comandi forniti nell'ambiente Windows, dove "set" è il comando per creare una variabile di ambiente. Su un computer Linux o MacOS, bisogna utilizzare invece il comando "export". Tutte le altre parti dell'esempio sono valide per tutti i tre ambienti.

Per dettagli sull'utilizzo di Tools for Windows Powershell, consulta Passare a un IAM ruolo (Strumenti per Windows PowerShell)

set AWS_ACCESS_KEY_ID=AKIAIOSFODNN7EXAMPLE
set AWS_SECRET_ACCESS_KEY=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
set AWS_SESSION_TOKEN=AQoDYXdzEGcaEXAMPLE2gsYULo+Im5ZEXAMPLEeYjs1M2FUIgIJx9tQqNMBEXAMPLECvS
Ryh0FW7jEXAMPLEW+vE/7s1HRpXviG7b+qYf4nD00EXAMPLEmj4wxS04L/uZEXAMPLECihzFB5lTYLto9dyBgSDyEXA
MPLEKEY9/g7QRUhZp4bqbEXAMPLENwGPyOj59pFA4lNKCIkVgkREXAMPLEjlzxQ7y52gekeVEXAMPLEDiB9ST3UusKd
EXAMPLE1TVastU1A0SKFEXAMPLEiywCC/Cs8EXAMPLEpZgOs+6hz4AP4KEXAMPLERbASP+4eZScEXAMPLENhykxiHen
DHq6ikBQ==

A questo punto, tutti i comandi successivi vengono eseguiti con le autorizzazioni del ruolo identificato da tali credenziali (nel caso di David, il ruolo UpdateData).

Esegui il comando per accedere alle risorse nell'account di destinazione. In questo esempio, David si limita a elencare il contenuto del suo bucket S3 con il comando seguente.

aws s3 ls s3://shared-container

Poiché i nomi del bucket Amazon S3 sono universalmente univoci, non è necessario specificare quale ID account possiede il bucket. Per accedere alle risorse di altri AWS servizi, fare riferimento a AWS CLI documentazione relativa a quel servizio per i comandi e la sintassi necessari per fare riferimento alle sue risorse.

David richiama AssumeRole come parte di un'applicazione Devono specificare:. UpdateData ARN arn:aws:iam::999999999999:role/UpdateData

La risposta alla chiamata AssumeRole include le credenziali temporanee con un AccessKeyId e un SecretAccessKey. Include anche un'ora Expiration che indica quando le credenziali scadono e sarà necessario richiederne di nuove. Quando si imposta il concatenamento dei ruoli con AWS SDK, molti provider di credenziali aggiornano automaticamente le credenziali prima della scadenza.

David utilizza le credenziali provvisorie per inviare una chiamata s3:PutObject per aggiornare il bucket amzn-s3-demo-bucket-shared-container. Passerebbero le credenziali alla chiamata come parametro. API AuthParams Poiché le credenziali del ruolo temporaneo hanno solo accesso in lettura e scrittura al amzn-s3-demo-bucket-shared-container bucket, qualsiasi altra azione nell'account di destinazione viene negata.