Configurar o IAM com o S3 on Outposts

AWS Identity and Access Management (IAM) é um serviço da AWS service (Serviço da AWS) que ajuda o administrador no controle de segurança de acesso aos recursos da AWS de forma segura. Os administradores do IAM controlam quem pode ser autenticado (conectado) e autorizado (ter permissões) para utilizar os recursos do Amazon S3 no Outposts. O IAM é um AWS service (Serviço da AWS) que pode ser usado sem custo adicional. Por padrão, os usuários não têm permissões para recursos e operações do S3 no Outposts. Para conceder permissões de acesso para recursos do S3 no Outposts e operações de API, você pode usar o IAM para criar usuários, grupos ou perfis e anexar permissões.

Para conceder acesso, adicione as permissões aos seus usuários, grupos ou perfis:

Além das políticas do IAM baseadas em identidade, o S3 no Outposts é compatível com políticas de bucket e de ponto de acesso. As políticas de bucket e políticas de ponto de acesso são políticas baseadas em recursos que são anexadas ao recurso S3 no Outposts.

A política de ponto de acesso funciona com a política de bucket anexada ao bucket do S3 no Outposts. Para que uma aplicação ou um usuário acesse objetos em um bucket do S3 on Outposts por meio de um ponto de acesso do S3 on Outposts, tanto a política de ponto de acesso quanto a política de bucket devem permitir a solicitação.

As restrições que você incluir em uma política de ponto de acesso se aplicam somente a solicitações feitas por meio desse ponto de acesso. Por exemplo, se um ponto de acesso estiver anexado a um bucket, você não poderá usar a política de ponto de acesso para permitir ou negar solicitações feitas diretamente ao bucket. No entanto, as restrições que você aplicar a uma política de bucket podem permitir ou negar solicitações feitas diretamente ao bucket ou por meio do ponto de acesso.

Em uma política do IAM ou em uma política baseada em recursos, você define quais ações do S3 on Outposts serão permitidas ou negadas. As ações do S3 no Outposts correspondem a operações de API específicas do S3 no Outposts. As ações do S3 on Outposts usam o prefixo de namespace s3-outposts:. As solicitações feitas à API de controle do S3 on Outposts em uma Região da AWS e as solicitações feitas a endpoints da API de objeto no Outpost são autenticadas usando o IAM e autorizadas de acordo com o prefixo de namespace s3-outposts:. Para trabalhar com o S3 on Outposts, configure os usuários do IAM e autorize-os no namespace s3-outposts: do IAM.

Para obter mais informações, consulte Ações, recursos e chaves de condição do Amazon S3 no Outposts na Referência de autorização do serviço.

Para obter mais informações sobre como configurar o IAM para o S3 on Outposts, consulte os tópicos a seguir.

Entidades principais para S3 no Outposts

Ao criar uma política baseada em recurso para conceder acesso ao seu bucket do S3 no Outposts, você deve usar o elemento Principal para especificar a pessoa ou o aplicativo que pode fazer uma solicitação de uma ação ou operação no respectivo recurso. Para políticas do S3 no Outposts, você pode usar uma das seguintes entidades principais:

Para obter mais informações sobre o elemento Principal, consulte Elementos de política JSON da AWS: entidade principal no Guia do usuário do IAM.

ARNs de recurso para S3 no Outposts

Os nomes de recurso da Amazon (ARNs) para o S3 on Outposts contêm o ID do Outpost, bem como a Região da AWS na qual se encontra o Outpost, o ID da Conta da AWS e o nome do recurso. Para acessar e executar ações em buckets e objetos do Outposts, é necessário usar um dos formatos de ARN mostrados na tabela a seguir.

O valor partition no ARN refere-se a um grupo de Regiões da AWS. O escopo de cada Conta da AWS é uma partição. Estas são as partições compatíveis:

A tabela a seguir mostra os formatos de ARN do S3 no Outposts.

Exemplo de políticas para S3 no Outposts

{
   "Version":"2012-10-17",
   "Id":"ExampleBucketPolicy1",
   "Statement":[
      {
         "Sid":"statement1",
         "Effect":"Allow",
         "Principal":{
            "AWS":"123456789012"
         },
         "Action":"s3-outposts:*",
         "Resource":"arn:aws:s3-outposts:region:123456789012:outpost/op-01ac5d28a6a232904/bucket/example-outposts-bucket"
      }
   ]
}

{
    "Version": "2012-10-17",
    "Id": "ExampleBucketPolicy2",
    "Statement": [
        {
            "Sid": "statement1",
            "Effect": "Allow",
            "Principal": { "AWS" : "*" },
            "Action":"s3-outposts:*",
            "Resource":"arn:aws:s3-outposts:region:123456789012:outpost/op-01ac5d28a6a232904/bucket/example-outposts-bucket",
            "Condition" : {
                "IpAddress" : {
                    "aws:SourceIp": "192.0.2.0/24" 
                },
                "NotIpAddress" : {
                    "aws:SourceIp": "198.51.100.0/24" 
                } 
            } 
        } 
    ]
} 

Permissões para os endpoints do S3 on Outposts

O S3 on Outposts requer suas próprias permissões no IAM para gerenciar ações de endpoint do S3 on Outposts.

A tabela a seguir mostra as permissões do IAM relacionadas ao endpoint do S3 no Outposts.

Perfis vinculados a serviço para o S3 no Outposts

O S3 no Outposts usa perfis vinculados a serviço do IAM para criar alguns recursos de rede em seu nome. Para ter mais informações, consulte Usar perfis vinculados a serviço para o Amazon S3 no Outposts.