Exemplo 1: Proprietário do bucket que concede permissões do bucket aos usuários

1. Verifique se você tem uma Conta da AWS que tenha um usuário com privilégios de administrador.

   1. Cadastre-se para obter uma Conta da AWS, se necessário. Nós nos referimos a essa conta como conta A.

      1. Acesse https://aws.amazon.com/s3 e selecione Criar uma conta da AWS.

      2. Siga as instruções da tela.

         A AWS notificará você por e-mail quando sua conta estiver ativa e disponível para uso.

   2. Na Conta A, crie um usuário administrador AccountAadmin. Usando as credenciais da conta A, faça login no console do IAM e faça o seguinte:

      1. Crie um usuário AccountAadmin e anote as credenciais de segurança do usuário.

         Consulte instruções em Criar um usuário do IAM na sua Conta da AWS no Guia do usuário do IAM.

      2. Conceda privilégios de administrador a AccountAadmin anexando uma política de usuário com pleno acesso.

         Consulte instruções em Gerenciar políticas do IAM no Guia do usuário do IAM.

      3. Anote o URL de login de usuário do IAM de AccountAadmin. Você precisará usar esse URL para fazer login no AWS Management Console. Consulte mais informações sobre onde encontrar o URL de login em Sign in to the AWS Management Console as an IAM user no Guia do usuário do IAM. Anote o URL de cada uma das contas.

2. Configure a AWS CLI ou o AWS Tools for Windows PowerShell. Salve as credenciais de usuário do administrador da seguinte maneira:

   • Se estiver usando a AWS CLI, crie um perfil, AccountAadmin, no arquivo de configuração.

   • Se estiver usando o AWS Tools for Windows PowerShell, armazene as credenciais da sessão como AccountAadmin.

   Para obter instruções, consulte Configurar as ferramentas para as demonstrações.

1. Crie recursos de um bucket e um usuário do IAM

   1. No console do Amazon S3, crie um bucket. Anote a Região da AWS na qual você criou o bucket. Para obter instruções, consulte Criação de um bucket.

   2. No console do IAM, faça o seguinte:

      1. Crie um usuário chamado Dave.

         Para obter instruções passo a passo, consulte Criação de usuários do IAM (console) no Guia do usuário do IAM.

      2. Anote as credenciais de UserDave.

      3. Anote o nome do recurso da Amazon (ARN) do usuário Dave. No console do IAM, selecione o usuário para que a guia Resumo fornece o ARN do usuário.

2. Conceder permissões

   Como o proprietário do bucket e a conta pai a que o usuário pertence são iguais, a Conta da AWS pode conceder permissões de usuário usando uma política do bucket, uma política de usuário ou ambas. Neste exemplo, você faz ambos. Se o objeto também for de propriedade da mesma conta, o proprietário do bucket pode conceder permissões de objeto na política do bucket (ou em uma política do IAM).

   1. No console do Amazon S3, anexe a seguinte política do bucket a awsexamplebucket1.

      A política tem duas instruções.

      • A primeira instrução concede a Dave as permissões de operação dos buckets s3:GetBucketLocation e s3:ListBucket.

      • A segunda instrução concede a permissão s3:GetObject. Como a Conta A também possui o objeto, o administrador da conta pode conceder a permissão s3:GetObject.

      Na instrução Principal, Dave é identificado por seu ARN de usuário. Para obter mais informações sobre elementos de política, consulte Políticas e permissões no Amazon S3.

      {
         "Version": "2012-10-17",
         "Statement": [
            {
               "Sid": "statement1",
               "Effect": "Allow",
               "Principal": {
                  "AWS": "arn:aws:iam::AccountA-ID:user/Dave"
               },
               "Action": [
                  "s3:GetBucketLocation",
                  "s3:ListBucket"
               ],
               "Resource": [
                  "arn:aws:s3:::awsexamplebucket1"
               ]
            },
            {
               "Sid": "statement2",
               "Effect": "Allow",
               "Principal": {
                  "AWS": "arn:aws:iam::AccountA-ID:user/Dave"
               },
               "Action": [
                   "s3:GetObject"
               ],
               "Resource": [
                  "arn:aws:s3:::awsexamplebucket1/*"
               ]
            }
         ]
      }

   2. Crie uma política inline para o usuário Dave usando as seguintes políticas. A política concede a Dave a permissão s3:PutObject. Você precisa atualizar a política, fornecendo o nome de seu bucket.

      {
         "Version": "2012-10-17",
         "Statement": [
            {
               "Sid": "PermissionForObjectOperations",
               "Effect": "Allow",
               "Action": [
                  "s3:PutObject"
               ],
               "Resource": [
                  "arn:aws:s3:::awsexamplebucket1/*"
               ]
            }
         ]
      }

      Consulte instruções em Gerenciamento de políticas do IAM no Guia do usuário do IAM. Observe que você precisa fazer login no console usando as credenciais da Conta A.

Testar as permissões usando a AWS CLI

1. Atualize o arquivo de configuração da AWS CLI adicionando o perfil UserDaveAccountA a seguir. Para ter mais informações, consulte Configurar as ferramentas para as demonstrações.

   [profile UserDaveAccountA]
   aws_access_key_id = access-key
   aws_secret_access_key = secret-access-key
   region = us-east-1

2. Verifique se Dave pode executar as operações conforme concedido na política de usuário. Carregue um objeto de exemplo usando o comando put-object da AWS CLI a seguir.

   O parâmetro --body no comando identifica o arquivo de origem para fazer upload. Por exemplo, se o arquivo estiver na raiz da unidade C: de um computador Windows, você deve especificar c:\HappyFace.jpg. O parâmetro --key fornece o nome de chave para o objeto.

   aws s3api put-object --bucket awsexamplebucket1 --key HappyFace.jpg --body HappyFace.jpg --profile UserDaveAccountA

   Execute o comando da AWS CLI a seguir para obter o objeto.

   aws s3api get-object --bucket awsexamplebucket1 --key HappyFace.jpg OutputFile.jpg --profile UserDaveAccountA

Testar as permissões usando o AWS Tools for Windows PowerShell

1. Armazene as credenciais de Dave como AccountADave. Depois, use essas credenciais para PUT e GET um objeto.

   set-awscredentials -AccessKey AccessKeyID -SecretKey SecretAccessKey -storeas AccountADave

2. Carregue um objeto de exemplo usando o comando Write-S3Object do AWS Tools for Windows PowerShell com as credenciais armazenadas do usuário Dave.

   Write-S3Object -bucketname awsexamplebucket1 -key HappyFace.jpg -file HappyFace.jpg -StoredCredentials AccountADave

   Faça download do objeto anteriormente carregado.

   Read-S3Object -bucketname awsexamplebucket1 -key HappyFace.jpg -file Output.jpg -StoredCredentials AccountADave