예제 3: 버킷 소유자가 자신이 소유하지 않는 객체에 대한 권한 부여

1. AWS 계정이 두 개 있으며 각 계정에 이전 섹션의 표에 나와 있는 것과 같이 관리자가 한 명 있는지 확인합니다.

   1. 필요한 경우 AWS 계정에 가입합니다.

   2. 계정 A 보안 인증 정보를 사용하여 IAM 콘솔에 로그인하고 다음을 수행하여 관리자 사용자를 만듭니다.

      • AccountAadmin 사용자를 생성하고 사용자 보안 자격 증명을 적어 둡니다. 사용자 추가에 대한 자세한 내용은 IAM 사용 설명서의 AWS 계정에서 IAM 사용자 생성을 참조하십시오.

      • 모든 액세스 권한을 제공하는 사용자 정책을 연결하여 AccountAadmin에 관리자 권한을 부여합니다. 지침은 IAM 사용 설명서에서 IAM 정책 관리를 참조하십시오.

      • IAM 콘솔 대시보드에서 IAM 사용자 로그인 URL을 적어 둡니다. 해당 계정 사용자는 AWS Management Console에 로그인할 때 이 URL을 사용해야 합니다. 자세한 내용은 IAM 사용 설명서에서 사용자의 계정 로그인 방법을 참조하십시오.

   3. 계정 B의 자격 증명을 사용하여 이전 단계를 반복하고 관리자 사용자인 AccountBadmin을 만듭니다.

2. AWS CLI 또는 Tools for Windows PowerShell을 설정합니다. 관리자 자격 증명을 다음과 같이 저장해야 합니다.

   • AWS CLI를 사용하는 경우 구성 파일에 AccountAadmin 및 AccountBadmin의 프로파일 2개를 생성합니다.

   • Tools for Windows PowerShell을 사용하는 경우 세션의 자격 증명을 AccountAadmin 및 AccountBadmin으로 저장해야 합니다.

   지침은 연습을 위한 도구 설정 단원을 참조하십시오.

1. Amazon S3 콘솔에서 버킷을 생성합니다. 이 연습에서는 버킷이 미국 동부(버지니아 북부) AWS 리전에서 생성되었으며 이름이 amzn-s3-demo-bucket1이라고 가정합니다.

   지침은 버킷 생성 단원을 참조하십시오.

2. IAM 콘솔에서 사용자 Dave를 만듭니다.

   단계별 지침은 IAM 사용 설명서의 IAM 사용자 생성(콘솔)을 참조하세요.

3. 사용자 Dave의 자격 증명을 적어 둡니다.

4. Amazon S3 콘솔에서 amzn-s3-demo-bucket1 버킷에 다음 버킷 정책을 연결합니다. 지침은 Amazon S3 콘솔을 사용하여 버킷 정책 추가 단원을 참조하십시오. 단계를 따라 버킷 정책을 추가합니다. 계정 ID를 찾는 방법에 대한 자세한 내용은 AWS 계정 ID 찾기를 참조하십시오.

   이 정책은 계정 B에게 s3:PutObject 및 s3:ListBucket 권한을 부여합니다. 또한 이 정책은 사용자 Dave에게 s3:GetObject 권한을 부여합니다.

   {
      "Version": "2012-10-17",
      "Statement": [
         {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Principal": {
               "AWS": "arn:aws:iam::AccountB-ID:root"
            },
            "Action": [
               "s3:PutObject",
               "s3:ListBucket"
            ],
            "Resource": [
               "arn:aws:s3:::amzn-s3-demo-bucket1/*",
               "arn:aws:s3:::amzn-s3-demo-bucket1"
            ]
         },
         {
            "Sid": "Statement3",
            "Effect": "Allow",
            "Principal": {
               "AWS": "arn:aws:iam::AccountA-ID:user/Dave"
            },
            "Action": [
               "s3:GetObject"
            ],
            "Resource": [
               "arn:aws:s3:::amzn-s3-demo-bucket1/*"
            ]
         }  
      ]
   }

AWS CLI 사용

1. put-object AWS CLI 명령을 사용하여 객체를 업로드합니다. 명령의 --body 파라미터를 통해 업로드할 원본 파일이 식별됩니다. 예를 들어, 해당 파일이 Windows 시스템의 C: 드라이브에 있는 경우 c:\HappyFace.jpg를 지정합니다. --key 파라미터는 객체의 키 이름을 제공합니다.

   aws s3api put-object --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg --body HappyFace.jpg --profile AccountBadmin

2. 객체 ACL에서 버킷 소유자에게 객체에 대한 모든 권한을 부여하는 허가를 추가합니다. 표준 사용자 ID를 찾는 방법에 대한 자세한 내용은 AWS 계정 관리 참조 안내서의 AWS 계정의 표준 사용자 ID 찾기를 참조하세요.

   aws s3api put-object-acl --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg --grant-full-control id="AccountA-CanonicalUserID" --profile AccountBadmin

Tools for Windows PowerShell 사용

1. Write-S3Object 명령을 사용하여 객체를 업로드합니다.

   Write-S3Object -BucketName amzn-s3-demo-bucket1 -key HappyFace.jpg -file HappyFace.jpg -StoredCredentials AccountBadmin

2. 객체 ACL에서 버킷 소유자에게 객체에 대한 모든 권한을 부여하는 허가를 추가합니다.

   Set-S3ACL -BucketName amzn-s3-demo-bucket1 -Key HappyFace.jpg -CannedACLName "bucket-owner-full-control" -StoredCreden

AWS CLI 사용

1. AWS CLI 구성 파일에 사용자 Dave의 자격 증명을 추가하고 새로운 프로파일인 UserDaveAccountA를 만듭니다. 자세한 내용은 연습을 위한 도구 설정 단원을 참조하십시오.

   [profile UserDaveAccountA]
   aws_access_key_id = access-key
   aws_secret_access_key = secret-access-key
   region = us-east-1

2. get-object CLI 명령을 실행하여 HappyFace.jpg를 다운로드하고 로컬에 저장합니다. 사용자 Dave의 자격 증명은 --profile 파라미터를 추가하여 제공합니다.

   aws s3api get-object --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg Outputfile.jpg --profile UserDaveAccountA

Tools for Windows PowerShell 사용

1. 사용자 Dave의 AWS 자격 증명을 UserDaveAccountA로 영구 스토어에 저장합니다.

   Set-AWSCredentials -AccessKey UserDave-AccessKey -SecretKey UserDave-SecretAccessKey -storeas UserDaveAccountA

2. Read-S3Object 명령을 실행하여 HappyFace.jpg 객체를 다운로드하고 로컬에 저장합니다. 사용자 Dave의 자격 증명은 -StoredCredentials 파라미터를 추가하여 제공합니다.

   Read-S3Object -BucketName amzn-s3-demo-bucket1 -Key HappyFace.jpg -file HappyFace.jpg  -StoredCredentials UserDaveAccountA

1. 테스트를 완료한 후, 다음과 같이 수행해 정리합니다.

   1. 계정 A의 자격 증명을 사용하여 AWS Management Console에 로그인하고 다음을 수행합니다.

      • Amazon S3 콘솔에서 amzn-s3-demo-bucket1에 연결된 버킷 정책을 제거합니다. 버킷 속성의 권한 섹션에서 정책을 삭제합니다.

      • 이 연습을 위해 버킷을 만들었다면 Amazon S3 콘솔에서 객체를 삭제한 뒤 버킷을 삭제합니다.

      • IAM 콘솔에서 AccountAadmin 사용자를 제거합니다. 단계별 지침은 IAM 사용 설명서의 IAM 사용자 삭제를 참조하세요.

2. 계정 B의 자격 증명을 사용하여 AWS Management Console에 로그인합니다. IAM 콘솔에서 AccountBadmin 사용자를 삭제합니다.