Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Utilizzo di IAM localmente su Snowball Edge

AWS Identity and Access Management (IAM) ti aiuta a controllare in modo sicuro l'accesso alle AWS risorse eseguite sul tuo AWS Snowball Edge dispositivo. Utilizza IAM per controllare chi è autenticato (accesso effettuato) e autorizzato (dispone di autorizzazioni) per l'utilizzo di risorse.

IAM è supportato localmente sul tuo dispositivo. Puoi utilizzare il servizio IAM locale per creare nuovi utenti e allegare loro policy IAM. È possibile utilizzare questi criteri per consentire l'accesso necessario per eseguire le attività assegnate. Ad esempio, puoi dare a un utente la possibilità di trasferire dati, ma limitarne la possibilità di creare nuove istanze EC2 compatibili con Amazon.

Inoltre, puoi creare credenziali locali basate sulla sessione utilizzando AWS Security Token Service ()AWS STS sul tuo dispositivo. Per informazioni sul servizio IAM, consulta la Guida introduttiva alla IAM User Guide.

Le credenziali root del tuo dispositivo non possono essere disabilitate e non puoi utilizzare le policy all'interno del tuo account per negare esplicitamente l'accesso all'utente root. Account AWS Ti consigliamo di proteggere le chiavi di accesso dell'utente root e di creare credenziali utente IAM per l'interazione quotidiana con il tuo dispositivo.

Utilizzo delle operazioni AWS CLI e dell'API su Snowball Edge

Quando utilizzi le operazioni AWS CLI o API per emettere EC2 comandi IAM AWS STS, Amazon S3 e Amazon su Snowball Edge, devi specificare come ".» region snow È possibile eseguire questa operazione utilizzando aws configure o all'interno del comando stesso, come negli esempi seguenti.

aws configure --profile abc
AWS Access Key ID [None]: AKIAIOSFODNN7EXAMPLE
AWS Secret Access Key [None]: 1234567
Default region name [None]: snow
Default output format [None]: json
        

Or

aws iam list-users --endpoint http://192.0.2.0:6078 --region snow --profile snowballEdge 
        

Elenco dei AWS CLI comandi IAM supportati su Snowball Edge

Di seguito è riportata una descrizione del sottoinsieme di AWS CLI comandi e opzioni per IAM supportati sui dispositivi Snowball Edge. Un comando o un'opzione non incluso nell'elenco seguente non è supportato. I parametri non supportati per i comandi sono annotati nella descrizione.

Operazioni API IAM supportate su Snowball Edge

Di seguito sono elencate le operazioni dell'API IAM che puoi utilizzare con Snowball Edge, con collegamenti alle relative descrizioni nella Guida di riferimento all'API IAM.

Versione e grammatica delle policy IAM supportate su Snowball Edge

Di seguito è riportata la versione di supporto IAM locale 2012-10-17 del criterio IAM e un sottoinsieme della grammatica dei criteri.

Esempi di policy IAM su Snowball Edge

Di seguito sono riportati alcuni esempi di policy che concedono autorizzazioni a un dispositivo Snowball Edge.

Consentire la GetUser chiamata per un utente campione su Snowball Edge tramite l'API IAM

Utilizza la seguente policy per consentire la GetUser chiamata a un utente campione tramite l'API IAM.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "iam:GetUser",
            "Resource": "arn:aws:iam:::user/example-user"
        }
    ]
}

Consentire l'accesso completo all'API Amazon S3 su Snowball Edge

Utilizza la seguente policy per consentire l'accesso completo all'API Amazon S3.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "s3:*",
            "Resource": "*"
            
        }
    ]
}

Consentire l'accesso in lettura e scrittura a un bucket Amazon S3 su Snowball Edge

Utilizzare il criterio seguente per consentire l'accesso in lettura e scrittura a un bucket specifico.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ListObjectsInBucket",
            "Effect": "Allow",
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucket-name"
        },
        {
            "Sid": "AllObjectActions",
            "Effect": "Allow",
            "Action": "s3:*Object",
            "Resource": "arn:aws:s3:::bucket-name/*"
        }
    ]
}

Consentire l'accesso a elenchi, get e put a un bucket Amazon S3 su Snowball Edge

Utilizza la seguente policy per consentire l'accesso a List, Get e Put a un bucket S3 specifico.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:List*"
            ],
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
        }
    ]
}

Consentire l'accesso completo all' EC2API Amazon su Snowball Edge

Utilizza la seguente politica per consentire l'accesso completo ad Amazon EC2.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ec2:*",
            "Resource": "*"
        }
    ]
}

Consentire l'accesso per avviare e arrestare istanze EC2 compatibili con Amazon su Snowball Edge

Utilizza la seguente politica per consentire l'accesso all'avvio e all'arresto EC2 delle istanze Amazon.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:StartInstances",
                "ec2:StopInstances"
            ],
            "Resource": "*"
        }
    ]
}

Negare le chiamate verso uno Snowball Edge, DescribeLaunchTemplates ma consentire DescribeImages a tutte le chiamate di farlo

Utilizzare il seguente criterio per negare le chiamate DescribeLaunchTemplates ma consentire tutte le chiamate a DescribeImages.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "ec2:DescribeLaunchTemplates"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeImages"
            ],
            "Resource": "*"
        }
    ]
}

Criteri per le chiamate API su Snowball Edge

Elenca tutte le policy gestite disponibili sul dispositivo Snow, incluse le policy gestite definite dal cliente. Maggiori dettagli in list-policies.

aws iam list-policies --endpoint http://ip-address:6078 --region snow --profile snowballEdge
{
    "Policies": [
        {
            "PolicyName": "Administrator",
            "Description": "Root user admin policy for Account 123456789012",
            "CreateDate": "2020-03-04T17:44:59.412Z",
            "AttachmentCount": 1,
            "IsAttachable": true,
            "PolicyId": "policy-id",
            "DefaultVersionId": "v1",
            "Path": "/",
            "Arn": "arn:aws:iam::123456789012:policy/Administrator",
            "UpdateDate": "2020-03-04T19:10:45.620Z"
        }
    ]
}                                          

TrustPolicy esempio su Snowball Edge

Una politica di attendibilità restituisce una serie di credenziali di sicurezza temporanee che è possibile utilizzare per accedere a AWS risorse a cui normalmente non si ha accesso. Le credenziali temporanee sono costituite da un ID chiave di accesso, una chiave di accesso segreta e un token di sicurezza. In genere, si utilizza AssumeRole nel proprio account per l'accesso tra account.

Di seguito è illustrato un esempio di policy di attendibilità. Per ulteriori informazioni sulla politica di fiducia, consulta AssumeRolel'AWS Security Token Service API Reference.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::AccountId:root" //You can use the Principal ID instead of the account ID. 
                ]
            },
            "Action": [
                "sts:AssumeRole"
            ]
        }
    ]
}