계정 간 Amazon S3 스토리지에 대한 권한 부여

계정 A에 Amazon S3 버킷 bucketA을 생성합니다.

Canvas 사용자는 계정 B라는 다른 계정에 있습니다. 다음 단계에서는 계정 B에서와 같이 Canvas 사용자의 IAM 역할을 참조roleB합니다.

IAM 정책을 연결하여 계정 B의 IAM 역할에 계정 AroleB의 에서 (GetObject)를 다운로드하고 (PutObject) 객체를 업로드할 수 bucketA 있는 권한을 부여합니다.

특정 버킷 폴더에 대한 액세스를 제한하려면 리소스 요소에 폴더 이름(예: arn:aws:s3:::<bucketA>/FolderName/*)을 정의합니다. 자세한 내용은 IAM 정책을 사용하여 특정 폴더에 대한 사용자별 액세스 권한을 부여하려면 어떻게 해야 하나요?를 참조하세요.

다음 예제 IAM 정책은 에서 객체에 액세스하는 roleB 데 필요한 권한을 부여합니다bucketA.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject"
            ],
            "Resource": [
                "arn:aws:s3:::bucketA/FolderName/*",
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketCors",
                "s3:GetBucketLocation"
            ],
            "Resource": [
                "arn:aws:s3:::bucketA",
            ]
        }
    ]
}

계정 A의 bucketA에 대한 버킷 정책을 구성하여 roleB 계정 B의 IAM 역할에 권한을 부여합니다.

다음은 roleB에게 필요한 권한을 부여하기 위한 bucketA의 버킷 정책의 예시입니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::accountB:role/roleB"
            },
            "Action": [
                "s3:DeleteObject",
                "s3:GetObject",
                "s3:PutObject"
            ],
            "Resource": "arn:aws:s3:::bucketA/FolderName/*"
        },
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::accountB:role/roleB"
            },
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketCors",
                "s3:GetBucketLocation"
            ],
            "Resource": "arn:aws:s3:::bucketA"
        }
    ]
}

계정 As3KmsInAccountA에서 Amazon S3 버킷bucketA, 및 Amazon S3 KMS 키를 생성합니다.

Canvas 사용자는 계정 B라는 다른 계정에 있습니다. 다음 단계에서는 계정 B에서와 같이 Canvas 사용자의 IAM 역할을 참조roleB합니다.

roleB 계정 B의 IAM 역할에 다음을 수행할 수 있는 권한을 부여합니다.

다음 예제 IAM 정책은 에서 객체에 액세스bucketA하고 KMS 키 를 사용하는 roleB 데 필요한 권한을 부여합니다s3KmsInAccountA.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject"
            ],
            "Resource": [
                "arn:aws:s3:::bucketA/FolderName/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketCors",
                "s3:GetBucketLocation"
            ],
            "Resource": [
                "arn:aws:s3:::bucketA"
            ]
        },
        {
            "Action": [
                "kms:DescribeKey",
                "kms:CreateGrant",
                "kms:RetireGrant",
                "kms:GenerateDataKey",
                "kms:GenerateDataKeyWithoutPlainText",
                "kms:Decrypt"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:kms:{region}:accountA:key/s3KmsInAccountA"
        }
    ]
}

계정 B의 IAM 역할에 권한을 부여하려면 계정 As3KmsInAccountA의 에 대한 버킷 정책 bucketA 및 roleB에 대한 키 정책을 구성합니다.

다음은 roleB에게 필요한 권한을 부여하기 위한 bucketA의 버킷 정책의 예시입니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::accountB:role/roleB"
            },
            "Action": [
                "s3:DeleteObject",
                "s3:GetObject",
                "s3:PutObject"
            ],
            "Resource": "arn:aws:s3:::bucketA/FolderName/*"
        },
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::accountB:role/roleB"
            },
            "Action": [
                "s3:GetBucketCors",
                "s3:GetBucketLocation"
            ],
            "Resource": "arn:aws:s3:::bucketA"
        }
    ]
}

다음 예제는 roleB 액세스 권한을 부여하기 위해 계정 A의 키s3KmsInAccountA에 연결하는 KMS 키 정책입니다. 키 정책 설명을 만들고 연결하는 방법에 대한 자세한 내용은 AWS KMS 개발자 안내서의 키 정책 생성을 참조하세요.

{
  "Sid": "Allow use of the key",
  "Effect": "Allow",
  "Principal": {
    "AWS": [
      "arn:aws:iam::accountB:role/roleB"
    ]
  },
  "Action": [
        "kms:DescribeKey",
        "kms:CreateGrant",
        "kms:RetireGrant",
        "kms:GenerateDataKey",
        "kms:GenerateDataKeyWithoutPlainText",
        "kms:Decrypt"
  ],
  "Resource": "*"
}