AWS Snowball Edge não está mais disponível para novos clientes. Novos clientes devem explorar AWS DataSynctransferências on-line, o Terminal de Transferência de AWS Dados para transferências físicas seguras ou soluções de AWS parceiros. Para computação de ponta, explore AWS Outposts.

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Usando o IAM localmente em um Snowball Edge

AWS Identity and Access Management(IAM) ajuda você a controlar com segurança o acesso aos AWS recursos que são executados em seu AWS Snowball Edge dispositivo. Com o IAM, você controla quem pode se autenticar (fazer login) e quem tem autorização (permissões) para acessar os recursos.

O IAM é aceito localmente no dispositivo. É possível usar o serviço local do IAM para criar usuários e anexar políticas do IAM a eles. É possível usar essas políticas para permitir o acesso necessário para realizar as tarefas atribuídas. Por exemplo, você pode dar a um usuário a capacidade de transferir dados, mas limitar sua capacidade de criar novas EC2-compatible instâncias da Amazon.

Além disso, você pode criar credenciais locais baseadas em sessão usando AWS Security Token Service(AWS STS) no seu dispositivo. Para obter informações sobre o serviço do IAM, consulte Conceitos básicos no Guia do usuário do IAM.

As credenciais raiz do seu dispositivo não podem ser desativadas e você não pode usar políticas em sua conta para negar explicitamente o acesso ao usuário Conta da AWS raiz. Recomendamos proteger as chaves de acesso do usuário raiz e criar credenciais de usuário do IAM para a interação diária com o dispositivo.

Usar o AWS CLI e operações de API em um Snowball Edge

Ao usar as operações AWS CLI ou de API para emitir comandos IAM AWS STS, Amazon S3 e Amazon EC2 no Snowball Edge, você deve especificar o como "”. region snow Você pode fazer isso usando aws configure ou dentro do próprio comando, como nos exemplos a seguir.

aws configure --profile abc AWS Access Key ID [None]: AKIAIOSFODNN7EXAMPLE AWS Secret Access Key [None]: 1234567
Default region name [None]: snow
Default output format [None]: json
        

Ou

aws iam list-users --endpoint http://192.0.2.0:6078 --region snow --profile snowballEdge 
        

Lista de IAM compatíveis AWS CLI Comandos em um Snowball Edge

Veja a seguir uma descrição do subconjunto de AWS CLI comandos e opções do IAM que são compatíveis com dispositivos Snowball Edge. Se um comando ou opção não estiver listado abaixo, não é compatível. Os parâmetros não compatíveis com comandos são anotados na descrição.

Operações de API IAM suportadas no Snowball Edge

Veja a seguir as operações da API do IAM que podem ser usadas com um Snowball Edge, com links para as descrições na Referência da API do IAM.

Versão e gramática da política do IAM suportadas no Snowball Edge

Veja a seguir a versão de suporte 2012-10-17 do IAM da política do IAM e um subconjunto da gramática da política.

Exemplos de políticas do IAM no Snowball Edge

Veja a seguir exemplos de politicas que concedem permissões para um dispositivo Snowball Edge.

Permitir a GetUser chamada para um usuário de amostra em um Snowball Edge por meio da API IAM

Use a política a seguir para permitir a GetUser chamada para um usuário de amostra por meio da API IAM.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "iam:GetUser",
            "Resource": "arn:aws:iam::111122223333:user/example-user"
        }
    ]
}

Permitindo acesso total à API do Amazon S3 em um Snowball Edge

Use a política a seguir para permitir o acesso total à API do Amazon S3.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "s3:*",
            "Resource": "*"
            
        }
    ]
}

Permitindo acesso de leitura e gravação a um bucket do Amazon S3 em um Snowball Edge

Use a política a seguir para permitir o acesso de leitura e gravação a um bucket específico.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "ListObjectsInBucket",
            "Effect": "Allow",
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucket-name"
        },
        {
            "Sid": "AllObjectActions",
            "Effect": "Allow",
            "Action": "s3:*Object",
            "Resource": "arn:aws:s3:::bucket-name/*"
        }
    ]
}

Permitindo listar, obter e colocar acesso a um bucket do Amazon S3 em um Snowball Edge

Use a política a seguir para permitir o acesso List, Get e Put a um bucket específico do S3.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:List*"
            ],
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
        }
    ]
}

Permitindo acesso total à API do Amazon EC2 em um Snowball Edge

Use a política a seguir para permitir o acesso total ao Amazon EC2.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ec2:*",
            "Resource": "*"
        }
    ]
}

Permitindo acesso para iniciar e interromper EC2-compatible instâncias da Amazon em um Snowball Edge

Use a política a seguir para permitir o acesso para iniciar e interromper as instâncias do Amazon EC2.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:StartInstances",
                "ec2:StopInstances"
            ],
            "Resource": "*"
        }
    ]
}

Negando chamadas para, DescribeLaunchTemplates mas permitindo que todas as chamadas sejam enviadas para um DescribeImages Snowball Edge

Use a seguinte política para negar chamadas para DescribeLaunchTemplates, mas permitir todas as chamadas para DescribeImages.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "ec2:DescribeLaunchTemplates"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeImages"
            ],
            "Resource": "*"
        }
    ]
}

Política para chamadas de API em um Snowball Edge

Lista todas as políticas gerenciadas que estão disponíveis no dispositivo Snow, incluindo suas próprias políticas gerenciadas definidas pelo cliente. Mais detalhes em list-policies.

aws iam list-policies --endpoint http://ip-address:6078 --region snow --profile snowballEdge
{
    "Policies": [
        {
            "PolicyName": "Administrator",
            "Description": "Root user admin policy for Account 123456789012",
            "CreateDate": "2020-03-04T17:44:59.412Z",
            "AttachmentCount": 1,
            "IsAttachable": true,
            "PolicyId": "policy-id",
            "DefaultVersionId": "v1",
            "Path": "/",
            "Arn": "arn:aws:iam::123456789012:policy/Administrator",
            "UpdateDate": "2020-03-04T19:10:45.620Z"
        }
    ]
}                                          

TrustPolicy exemplo em um Snowball Edge

Uma política de confiança retorna um conjunto de credenciais de segurança temporárias que você pode usar para acessar AWS recursos aos quais você normalmente não teria acesso. Essas credenciais de segurança temporárias consistem em um ID de chave de acesso, uma chave de acesso secreta e um token de segurança. Normalmente, você usa AssumeRole na conta para acesso entre contas.

Veja a seguir um exemplo de política de confiança. Para obter mais informações sobre a política de confiança, consulte AssumeRolea Referência AWS Security Token Service da API.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::111122223333:root"
                ]
            },
            "Action": [
                "sts:AssumeRole"
            ]
        }
    ]
}