Exemplo 2: Proprietário do bucket concedendo permissões de bucket entre contas

1. Você precisa ter duas Contas da AWS, e cada conta deverá ter um usuário administrador, conforme mostrado na tabela na seção anterior.

   1. Cadastre-se para obter uma Conta da AWS, se necessário.

   2. Usando as credenciais da Conta A, faça login no console do IAM para criar o usuário administrador:

      1. Crie um usuário AccountAadmin e anote as credenciais de segurança. Para obter instruções, consulte Criar um usuário do IAM na sua Conta da AWS no Guia do usuário do IAM.

      2. Conceda privilégios de administrador a AccountAadmin anexando uma política de usuário com pleno acesso. Para instruções, consulte Como trabalhar com políticas no Guia do usuário do IAM.

   3. Enquanto estiver no console do IAM, anote o URL de login de usuário do IAM indicado no Painel. Todos os usuários nessa conta devem usar essa URL para fazer login no AWS Management Console.

      Para obter mais informações, consulte Como os usuários fazem login em sua conta no Guia do usuário do IAM.

   4. Repita a etapa anterior usando as credenciais da Conta B e crie um usuário administrador AccountBadmin.

2. Configure a AWS Command Line Interface (AWS CLI) ou o AWS Tools for Windows PowerShell. Salve as credenciais de usuário do administrador da seguinte maneira:

   • Se estiver usando a AWS CLI, crie dois perfis, AccountAadmin e AccountBadmin, no arquivo de configuração.

   • Se estiver usando o AWS Tools for Windows PowerShell, armazene as credenciais da sessão como AccountAadmin e AccountBadmin.

   Para obter instruções, consulte Configurar as ferramentas para as demonstrações.

3. Salve as credenciais do usuário administrador, também conhecidas como perfis. Você pode usar o nome do perfil em vez de especificar as credenciais para cada comando digitado. Para ter mais informações, consulte Configurar as ferramentas para as demonstrações.

   1. Adicione perfis no arquivo de credenciais da AWS CLI para cada um dos usuários administradores, AccountAadmin e AccountBadmin, nas duas contas.

      [AccountAadmin]
      aws_access_key_id = access-key-ID
      aws_secret_access_key = secret-access-key
      region = us-east-1
      
      [AccountBadmin]
      aws_access_key_id = access-key-ID
      aws_secret_access_key = secret-access-key
      region = us-east-1

   2. Se estiver usando o AWS Tools for Windows PowerShell, execute o comando a seguir.

      set-awscredentials –AccessKey AcctA-access-key-ID –SecretKey AcctA-secret-access-key –storeas AccountAadmin
      set-awscredentials –AccessKey AcctB-access-key-ID –SecretKey AcctB-secret-access-key –storeas AccountBadmin

1. No console do Amazon S3, crie um bucket. Esse exercício supõe que o bucket é criado na Região da AWS Leste dos EUA (Norte da Virgínia) e que o nome dele é DOC-EXAMPLE-BUCKET.

   Para obter instruções, consulte Criação de um bucket.

2. Faça upload de um objeto de exemplo no bucket.

   Para obter instruções, vá para Etapa 2: fazer upload de um objeto para o seu bucket.

1. Anexe a política de bucket a seguir ao DOC-EXAMPLE-BUCKET. A política concede à Conta B permissão para as ações s3:GetLifecycleConfiguration e s3:ListBucket.

   Para obter instruções, consulte Adicionar uma política de bucket usando o console do Amazon S3.

   {
      "Version": "2012-10-17",
      "Statement": [
         {
            "Sid": "Example permissions",
            "Effect": "Allow",
            "Principal": {
               "AWS": "arn:aws:iam::AccountB-ID:root"
            },
            "Action": [
               "s3:GetLifecycleConfiguration",
               "s3:ListBucket"
            ],
            "Resource": [
               "arn:aws:s3:::DOC-EXAMPLE-BUCKET"
            ]
         }
      ]
   }

2. Verifique se a Conta B (ou seja, do usuário administrador) pode executar as operações.

   • Fazer a verificação usando a AWS CLI

     aws s3 ls s3://DOC-EXAMPLE-BUCKET --profile AccountBadmin
     aws s3api get-bucket-lifecycle-configuration --bucket DOC-EXAMPLE-BUCKET --profile AccountBadmin

   • Fazer a verificação usando o AWS Tools for Windows PowerShell

     get-s3object -BucketName DOC-EXAMPLE-BUCKET -StoredCredentials AccountBadmin 
     get-s3bucketlifecycleconfiguration -BucketName DOC-EXAMPLE-BUCKET -StoredCredentials AccountBadmin

Testar as permissões usando a AWS CLI

1. Adicione o perfil UserDave ao arquivo de configuração da AWS CLI. Para obter mais informações sobre o arquivo de configuração, consulte Configurar as ferramentas para as demonstrações

   [profile UserDave]
   aws_access_key_id = access-key
   aws_secret_access_key = secret-access-key
   region = us-east-1

2. No prompt de comando, insira o comando da AWS CLI a seguir para verificar se agora Dave consegue obter uma lista de objetos do UserDave pertencente à Conta A. Observe que o comando especifica o perfil DOC-EXAMPLE-BUCKET.

   aws s3 ls s3://DOC-EXAMPLE-BUCKET --profile UserDave

   Dave não tem nenhuma outra permissão. Portanto, se ele tentar realizar qualquer outra operação (por exemplo, a configuração de get-bucket-lifecycle a seguir), o Amazon S3 retornará uma negação da permissão.

   aws s3api get-bucket-lifecycle-configuration --bucket DOC-EXAMPLE-BUCKET --profile UserDave

Testar as permissões usando o AWS Tools for Windows PowerShell

1. Armazene as credenciais de Dave como AccountBDave.

   set-awscredentials -AccessKey AccessKeyID -SecretKey SecretAccessKey -storeas AccountBDave

2. Teste o comando List Bucket.

   get-s3object -BucketName DOC-EXAMPLE-BUCKET -StoredCredentials AccountBDave

   Dave não tem nenhuma outra permissão. Portanto, se ele tentar realizar qualquer outra operação (por exemplo, a get-s3bucketlifecycleconfiguration a seguir), o Amazon S3 retornará uma negação da permissão.

   get-s3bucketlifecycleconfiguration -BucketName DOC-EXAMPLE-BUCKET -StoredCredentials AccountBDave

1. Depois de terminar os testes, você pode fazer o seguinte para concluir a limpeza:

   1. Faça login no AWS Management Console (AWS Management Console) usando as credenciais da Conta A e faça o seguinte:

      • No console do Amazon S3, remova a política de bucket anexada a DOC-EXAMPLE-BUCKET. Nas Propriedades do bucket, exclua a política na seção Permissions (Permissões).

      • Se o bucket foi criado para este exercício, no console do Amazon S3, exclua os objetos e, em seguida, exclua o bucket.

      • No console do IAM, remova o usuário AccountAadmin.

2. Faça login no console do IAM usando as credenciais da Conta B. Exclua o usuário AccountBadmin. Consulte instruções detalhadas em Exclusão de um usuário do IAM no Guia do usuário do IAM.