Exemplo 3: O proprietário do bucket concede permissões para objetos que não possui

1. Você precisa ter duas Contas da AWS, e cada conta deverá ter um administrador, conforme mostrado na tabela na seção anterior.

   1. Cadastre-se para obter uma Conta da AWS, se necessário.

   2. Usando as credenciais da Conta A, faça login no console do IAM e faça o seguinte para criar um usuário administrador:

      • Crie um usuário AccountAadmin e anote as credenciais de segurança do usuário. Para obter mais informações sobre como adicionar usuários, consulte Criar um usuário do IAM na sua Conta da AWS no Guia do usuário do IAM.

      • Conceda permissões de administrador a AccountAadmin anexando uma política de usuário com pleno acesso. Consulte instruções em Gerenciar políticas do IAM no Guia do usuário do IAM.

      • No console do IAM, anote o URL de login de usuário do IAM indicado no Painel. Os usuários nessa conta devem usar esse URL para fazer login no AWS Management Console. Para obter mais informações, consulte Como os usuários fazem login em sua conta no Guia do usuário do IAM.

   3. Repita a etapa anterior usando as credenciais da Conta B e crie um usuário administrador AccountBadmin.

2. Configure a AWS CLI ou as Tools for Windows PowerShell. Salve as credenciais de administrador da seguinte forma:

   • Se estiver usando a AWS CLI, crie dois perfis, AccountAadmin e AccountBadmin, no arquivo de configuração.

   • Se estiver usando o Tools for Windows PowerShell, armazene as credenciais da sessão como AccountAadmin e AccountBadmin.

   Para obter instruções, consulte Configurar as ferramentas para as demonstrações.

1. No console do Amazon S3, crie um bucket. Esse exercício supõe que o bucket foi criado na Região da AWS Leste dos EUA (Norte da Virgínia) e que o nome dele é amzn-s3-demo-bucket1.

   Para obter instruções, consulte Criação de um bucket.

2. No console do IAM, crie um usuário chamado Dave.

   Para obter instruções passo a passo, consulte Criação de usuários do IAM (console) no Guia do usuário do IAM.

3. Anote as credenciais do usuário Dave.

4. No console do Amazon S3, anexe a seguinte política do bucket ao bucket amzn-s3-demo-bucket1. Para obter instruções, consulte Adicionar uma política de bucket usando o console do Amazon S3. Siga as etapas para adicionar uma política de bucket. Para obter informações sobre como encontrar IDs de conta, consulte Como encontrar o ID da Conta da AWS.

   A política concede à Conta B as permissões s3:PutObject e s3:ListBucket. A política também concede ao usuário Dave a permissão s3:GetObject.

   {
      "Version": "2012-10-17",
      "Statement": [
         {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Principal": {
               "AWS": "arn:aws:iam::AccountB-ID:root"
            },
            "Action": [
               "s3:PutObject",
               "s3:ListBucket"
            ],
            "Resource": [
               "arn:aws:s3:::amzn-s3-demo-bucket1/*",
               "arn:aws:s3:::amzn-s3-demo-bucket1"
            ]
         },
         {
            "Sid": "Statement3",
            "Effect": "Allow",
            "Principal": {
               "AWS": "arn:aws:iam::AccountA-ID:user/Dave"
            },
            "Action": [
               "s3:GetObject"
            ],
            "Resource": [
               "arn:aws:s3:::amzn-s3-demo-bucket1/*"
            ]
         }  
      ]
   }

Uso do AWS CLI

1. Usando o comando put-object da AWS CLI, carregue um objeto. O parâmetro --body no comando identifica o arquivo de origem para fazer upload. Por exemplo, se o arquivo estiver na unidade C: de um computador Windows, especifique c:\HappyFace.jpg. O parâmetro --key fornece o nome de chave para o objeto.

   aws s3api put-object --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg --body HappyFace.jpg --profile AccountBadmin

2. Adicionar uma concessão à ACL do objeto para permitir controle total do objeto ao proprietário do bucket. Para obter informações sobre como encontrar um ID de usuário canônico, consulte Find the canonical user ID for your Conta da AWS no Guia de referência de gerenciamento de contas da AWS.

   aws s3api put-object-acl --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg --grant-full-control id="AccountA-CanonicalUserID" --profile AccountBadmin

Usar o Tools for Windows PowerShell

1. Carregue um objeto usando o comando Write-S3Object.

   Write-S3Object -BucketName amzn-s3-demo-bucket1 -key HappyFace.jpg -file HappyFace.jpg -StoredCredentials AccountBadmin

2. Adicionar uma concessão à ACL do objeto para permitir controle total do objeto ao proprietário do bucket.

   Set-S3ACL -BucketName amzn-s3-demo-bucket1 -Key HappyFace.jpg -CannedACLName "bucket-owner-full-control" -StoredCreden

Uso do AWS CLI

1. Adicione as credenciais do usuário Dave ao arquivo de configuração da AWS CLI e crie um novo perfil, UserDaveAccountA. Para obter mais informações, consulte Configurar as ferramentas para as demonstrações.

   [profile UserDaveAccountA]
   aws_access_key_id = access-key
   aws_secret_access_key = secret-access-key
   region = us-east-1

2. Execute o comando get-object da CLI para fazer download do arquivo HappyFace.jpg e salve-o localmente. Você fornece credenciais ao usuário Dave adicionando o parâmetro --profile.

   aws s3api get-object --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg Outputfile.jpg --profile UserDaveAccountA

Usar o Tools for Windows PowerShell

1. Armazene as credenciais da AWS do usuário Dave, como UserDaveAccountA, para armazenamento persistente.

   Set-AWSCredentials -AccessKey UserDave-AccessKey -SecretKey UserDave-SecretAccessKey -storeas UserDaveAccountA

2. Execute o comando Read-S3Object para fazer download do objeto HappyFace.jpg e salve-o localmente. Você fornece credenciais ao usuário Dave adicionando o parâmetro -StoredCredentials.

   Read-S3Object -BucketName amzn-s3-demo-bucket1 -Key HappyFace.jpg -file HappyFace.jpg  -StoredCredentials UserDaveAccountA

1. Depois de terminar os testes, você pode fazer o seguinte para concluir a limpeza:

   1. Faça login no AWS Management Console usando as credenciais da Conta A e faça o seguinte:

      • No console do Amazon S3, remova a política de bucket anexada a amzn-s3-demo-bucket1. Nas Propriedades do bucket, exclua a política na seção Permissions (Permissões).

      • Se o bucket foi criado para este exercício, no console do Amazon S3, exclua os objetos e, em seguida, exclua o bucket.

      • No console do IAM, remova o usuário AccountAadmin. Consulte instruções detalhadas em Exclusão de um usuário do IAM no Guia do usuário do IAM.

2. Faça login no AWS Management Console usando as credenciais da Conta B. No console do IAM, exclua o usuário AccountBadmin.