Exemplo 4: proprietário do bucket concede permissão entre contas a objetos que não possui

Você precisa ter três Contas da AWS, e cada uma delas deve ter um usuário administrador, conforme exibido na tabela da seção anterior.

1. Cadastre-se para Contas da AWS, se necessário. Nós nos referimos a essas contas como Conta A, Conta B e Conta C.

2. Usando as credenciais da Conta A, faça login no console do IAM e faça o seguinte para criar um usuário administrador:

   • Crie o usuário AccountAadmin e anote as credenciais de segurança. Para obter mais informações sobre como adicionar usuários, consulte Criar um usuário do IAM na sua Conta da AWS no Guia do usuário do IAM.

   • Conceda privilégios de administrador a AccountAadmin anexando uma política de usuário com pleno acesso. Consulte instruções em Gerenciar políticas do IAM no Guia do usuário do IAM.

   • No console do IAM, anote o URL de login de usuário do IAM indicado no Painel. Os usuários nessa conta devem usar esse URL para fazer login no AWS Management Console. Consulte mais informações em Sign in to the AWS Management Console as an IAM user no Guia do usuário do IAM.

3. Repita a etapa anterior para criar usuários administradores na Conta B e na Conta C.

Para a Conta C, anote o ID de usuário canônico.

Quando criar uma função do IAM na Conta A, a política de confiança concederá à Conta C a permissão para assumir a função especificando o ID da conta. Você pode localizar as informações da conta da seguinte forma:

1. Use o ID ou o alias da Conta da AWS, o nome de usuário do IAM e a senha para fazer login no console do Amazon S3.

2. Selecione o nome de um bucket do Amazon S3 para visualizar os detalhes sobre esse bucket.

3. Selecione a guia Permissions (Permissões) e selecione Access Control List (Lista de controle de acesso).

4. Na seção Acesso à sua Conta da AWS, a coluna Conta inclui um identificador longo, como c1daexampleaaf850ea79cf0430f33d72579fd1611c97f7ded193374c0b163b6. Esse é seu ID de usuário canônico.

Ao criar uma política do bucket, você precisará das seguintes informações. Anote estes valores:

Configure a AWS Command Line Interface (CLI) ou o AWS Tools for Windows PowerShell. Salve as credenciais de usuário do administrador da seguinte maneira:

Para obter instruções, consulte Configurar as ferramentas para as demonstrações.

Crie um bucket. Este exercício supõe que o nome do bucket é amzn-s3-demo-bucket1.

Para obter instruções, consulte Criação de um bucket.

Anexe a política de bucket a seguir. A política concede ao administrador da Conta B uma permissão condicional para carregar objetos.

Atualize a política fornecendo seus próprios valores para amzn-s3-demo-bucket1, AccountB-ID e CanonicalUserId-of-AWSaccountA-BucketOwner.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "111",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::AccountB-ID:user/AccountBadmin"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*"
        },
        {
            "Sid": "112",
            "Effect": "Deny",
            "Principal": {
                "AWS": "arn:aws:iam::AccountB-ID:user/AccountBadmin"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*",
            "Condition": {
                "StringNotEquals": {
                    "s3:x-amz-grant-full-control": "id=CanonicalUserId-of-AWSaccountA-BucketOwner"
                }
            }
        }
    ]
}

Antes de criar a função, prepare as políticas gerenciadas que definem as permissões necessárias à função. Em uma etapa posterior, você anexará essa política à função.

1. No painel de navegação à esquerda, escolha Políticas e Criar política.

2. Próximo a Create Your Own Policy, escolha Select.

3. Insira access-accountA-bucket no campo Policy Name (Nome da política).

4. Copie a política de acesso a seguir e cole-a no campo Policy Document (Documento de políticas). A política de acesso concede permissão ao perfil s3:GetObject; assim, quando o usuário da Conta C assume o perfil, ele só pode executar a operação s3:GetObject.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "s3:GetObject",
         "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*"
       }
     ]
   }

5. Escolha Criar política.

   As novas políticas aparecem na lista de políticas gerenciadas.

No painel de navegação à esquerda, escolha Perfis e Criar novo perfil.

Em Selecionar tipo de função, selecione Função para acesso entre contas e o botão Selecionar ao lado de Fornecer acesso entre as Contas da AWS que você possui.

Insira o ID de conta da Conta C.

Para esta demonstração, não é necessário exigir que os usuários tenham a autenticação multifator (MFA) para assumir o perfil; portanto, deixe essa opção desmarcada.

Escolha Próxima etapa para definir as permissões que serão associadas à função.

Marque a caixa de seleção ao lado da política access-accountA-bucket que você criou e escolha Próxima etapa.

A página Revisar será exibida para que você possa confirmar as configurações para a função antes de criá-la. Um item muito importante a observar nesta página é o link que você pode enviar aos usuários que precisem usar essa função. Os usuários que usam o link vão diretamente para a página Trocar perfil com os campos “ID da conta” e “Nome do perfil” já preenchidos. Você também pode ver esse link mais tarde na página Resumo da função de qualquer função entre contas.

Insira examplerole para o nome do perfil e selecione Próxima etapa.

Depois de revisar o perfil, escolha Criar perfil.

A função examplerole é exibida na lista de funções.

Selecione o nome de perfil examplerole.

Selecione a guia Trust Relationships (Relacionamentos de confiança).

Clique em Mostrar documento de política e verifique se a política de confiança mostrada corresponde à indicada a seguir.

A política de confiança a seguir estabelece a confiança com a Conta C, permitindo-lhe a ação sts:AssumeRole. Para obter mais informações, consulte AssumeRole na Referência de APIs do AWS Security Token Service.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::AccountC-ID:root"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Anote o nome do recurso da Amazon (ARN) do perfil examplerole que você criou.

Depois, nas etapas a seguir, você anexará um política de usuário para permitir que um usuário do IAM assuma essa função e identificará a função com o valor de Nome de recurso da Amazon (ARN).

Usando o URL de login de usuário do IAM para a Conta C, primeiro faça login no AWS Management Console como o usuário AccountCadmin.

No console do IAM, crie um usuário chamado Dave.

Para obter instruções passo a passo, consulte Criação de usuários do IAM (AWS Management Console) no Guia do usuário do IAM.

Anote as credenciais de Dave. Dave precisará dessas credenciais para assumir a função examplerole.

Crie uma política em linha para o usuário do IAM Dave para delegar a ele a permissão sts:AssumeRole no perfil examplerole da conta A.

1. No painel de navegação à esquerda, escolha Uses (Usuários).

2. Selecione o nome de usuário Dave.

3. Na página detalhes do usuário, selecione a guia Permissions (Permissões) e, em seguida, expanda a seção Inline Policies (Políticas em linha).

4. Escolha clique aqui (ou Create User Policy [Criar política de usuário]).

5. Escolha Custom Policy e depois Select.

6. Insira um nome para a política no campo Policy Name (Nome da política).

7. Cole a seguinte política no campo Policy Document (Documento da política).

   Você deve atualizar a política fornecendo o AccountA-ID.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["sts:AssumeRole"],
         "Resource": "arn:aws:iam::AccountA-ID:role/examplerole"
       }
     ]
   }

8. Selecione Aplicar política.

Salve as credenciais de Dave no arquivo de configuração da AWS CLI adicionando outro perfil, AccountCDave.

[profile AccountCDave]
aws_access_key_id = UserDaveAccessKeyID
aws_secret_access_key = UserDaveSecretAccessKey
region = us-west-2

No prompt de comando, execute o comando assume-role da AWS CLI usando o perfil AccountCDave.

É necessário atualizar o valor do ARN no comando fornecendo o AccountA-ID em que examplerole foi definido.

aws sts assume-role --role-arn arn:aws:iam::AccountA-ID:role/examplerole --profile AccountCDave --role-session-name test

Em resposta, o AWS Security Token Service (AWS STS) retorna credenciais de segurança temporárias (ID da chave de acesso, chave de acesso secreta e um token de sessão).

Salve as credenciais de segurança temporárias no arquivo de configuração da AWS CLI no perfil TempCred.

[profile TempCred]
aws_access_key_id = temp-access-key-ID
aws_secret_access_key = temp-secret-access-key
aws_session_token = session-token
region = us-west-2

No prompt de comando, execute o comando da AWS CLI a seguir para acessar objetos usando as credenciais temporárias. Por exemplo, o comando especifica a API do objeto head para recuperar os metadados do objeto para o objeto HappyFace.jpg.

aws s3api get-object --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg SaveFileAs.jpg --profile TempCred

Como a política de acesso anexada a examplerole permite as ações, o Amazon S3 processa a solicitação. Você pode tentar qualquer outra ação em qualquer outro objeto no bucket.

Se tentar qualquer outra ação, como get-object-acl, você terá a permissão negada porque o perfil não tem permissão para realizar essa ação.

aws s3api get-object-acl --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg --profile TempCred

Usamos o usuário Dave para assumir a função e acessar o objeto usando credenciais temporárias. Também poderia ser um aplicativo na Conta C que acessa objetos em amzn-s3-demo-bucket1. O aplicativo pode obter credenciais de segurança temporárias, e a Conta C pode delegar permissão de aplicativo para assumir examplerole.

Depois de terminar os testes, você pode fazer o seguinte para concluir a limpeza:

1. Faça login no AWS Management Console usando as credenciais da Conta A e faça o seguinte:

   • No console do Amazon S3, remova a política de bucket anexada a amzn-s3-demo-bucket1. Nas Propriedades do bucket, exclua a política na seção Permissions (Permissões).

   • Se o bucket foi criado para este exercício, no console do Amazon S3, exclua os objetos e, em seguida, exclua o bucket.

   • No console do IAM, remova o examplerole que você criou na Conta A. Consulte instruções detalhadas em Exclusão de um usuário do IAM no Guia do usuário do IAM.

   • No console do IAM, remova o usuário AccountAadmin.

Faça login no console do IAM usando as credenciais da Conta B. Exclua o usuário AccountBadmin.

Faça login no console do IAM usando as credenciais da Conta C. Exclua AccountCadmin e o usuário Dave.