範例 3：授予對其未擁有之物件的許可的儲存貯體擁有者

1. 請確定您有兩個 AWS 帳戶 ，且每個帳戶都有一個管理員，如上一節的資料表所示。

   1. 如有需要 AWS 帳戶，請註冊 。

   2. 使用帳戶 A 登入資料登入IAM主控台，然後執行下列動作以建立管理員使用者：

      • 建立使用者AccountAadmin並記下使用者的安全憑證。如需新增使用者的詳細資訊，請參閱 使用者指南 中的在 IAM 中建立 AWS 帳戶使用者。 IAM

      • 透過AccountAadmin連接提供完整存取權的使用者政策，將管理員許可授予 。如需指示，請參閱 IAM 使用者指南 中的管理IAM政策。

      • 在IAM主控台儀表板 中，記下IAM使用者登入 URL。此帳戶中的使用者在登入 URL時必須使用此功能 AWS Management Console。如需詳細資訊，請參閱 IAM 使用者指南 中的使用者如何登入您的帳戶。

   3. 使用帳戶 B 憑證重複上述步驟，並建立管理員使用者 AccountBadmin。

2. 設定 AWS CLI 或適用於 Windows 的工具 PowerShell。請確定您如下所示儲存系統管理員憑證：

   • 如果使用 AWS CLI，請在組態檔案中建立兩個設定檔AccountBadmin，AccountAadmin以及 。

   • 如果使用 Tools for Windows PowerShell，請確定您將工作階段的憑證儲存為 AccountAadmin和 AccountBadmin。

   如需說明，請參閱 設定演練的工具。

1. 在 Amazon S3 主控台中建立儲存貯體。此練習假設儲存貯體是在美國東部 （維吉尼亞北部） 建立的 AWS 區域，名稱為 amzn-s3-demo-bucket1。

   如需說明，請參閱 建立儲存貯體。

2. 在IAM主控台 中，建立使用者 Dave。

   如需 step-by-step指示，請參閱 IAM 使用者指南 中的建立IAM使用者 （主控台）。

3. 請注意使用者 Dave 憑證。

4. 在 Amazon S3 主控台中，將下列儲存貯體政策連接至 amzn-s3-demo-bucket1 儲存貯體。如需說明，請參閱 使用 Amazon S3 主控台新增儲存貯體政策。遵循新增儲存貯體政策的步驟。如需有關如何尋找帳戶 的資訊IDs，請參閱尋找您的 AWS 帳戶 ID 。

   政策會將 s3:PutObject 與 s3:ListBucket 許可授予帳戶 B。此政策也會授予使用者Daves3:GetObject許可。

   {
      "Version": "2012-10-17",
      "Statement": [
         {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Principal": {
               "AWS": "arn:aws:iam::AccountB-ID:root"
            },
            "Action": [
               "s3:PutObject",
               "s3:ListBucket"
            ],
            "Resource": [
               "arn:aws:s3:::amzn-s3-demo-bucket1/*",
               "arn:aws:s3:::amzn-s3-demo-bucket1"
            ]
         },
         {
            "Sid": "Statement3",
            "Effect": "Allow",
            "Principal": {
               "AWS": "arn:aws:iam::AccountA-ID:user/Dave"
            },
            "Action": [
               "s3:GetObject"
            ],
            "Resource": [
               "arn:aws:s3:::amzn-s3-demo-bucket1/*"
            ]
         }  
      ]
   }

使用 AWS CLI

1. 使用 put-object AWS CLI 命令，上傳物件。命令中的 ---body 參數會識別要上傳的來源檔案。例如，如果檔案位於 C: Windows 機器，指定 c:\HappyFace.jpg。--key 參數提供物件的金鑰名稱。

   aws s3api put-object --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg --body HappyFace.jpg --profile AccountBadmin

2. 將授予新增至物件ACL，以允許儲存貯體擁有者完全控制物件。如需有關如何尋找正式使用者 ID 的資訊，請參閱 AWS 帳戶管理參考指南 中的尋找 的正式使用者 ID AWS 帳戶。

   aws s3api put-object-acl --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg --grant-full-control id="AccountA-CanonicalUserID" --profile AccountBadmin

使用 Tools for Windows PowerShell

1. 使用 Write-S3Object命令，上傳物件。

   Write-S3Object -BucketName amzn-s3-demo-bucket1 -key HappyFace.jpg -file HappyFace.jpg -StoredCredentials AccountBadmin

2. 將授予新增至物件ACL，以允許儲存貯體擁有者完全控制物件。

   Set-S3ACL -BucketName amzn-s3-demo-bucket1 -Key HappyFace.jpg -CannedACLName "bucket-owner-full-control" -StoredCreden

使用 AWS CLI

1. 將使用者 Dave 憑證新增至 AWS CLI 組態檔案，並建立新的設定檔 UserDaveAccountA。如需詳細資訊，請參閱設定演練的工具。

   [profile UserDaveAccountA]
   aws_access_key_id = access-key
   aws_secret_access_key = secret-access-key
   region = us-east-1

2. 執行 get-objectCLI命令以下載HappyFace.jpg並儲存在本機。您可以新增 --profile 參數，來提供使用者 Dave 憑證。

   aws s3api get-object --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg Outputfile.jpg --profile UserDaveAccountA

使用 Tools for Windows PowerShell

1. 將使用者 Dave AWS 憑證作為 儲存至UserDaveAccountA持久性存放區。

   Set-AWSCredentials -AccessKey UserDave-AccessKey -SecretKey UserDave-SecretAccessKey -storeas UserDaveAccountA

2. 執行 Read-S3Object 命令來下載 HappyFace.jpg 物件，並將其儲存在本機。您可以新增 -StoredCredentials 參數，來提供使用者 Dave 憑證。

   Read-S3Object -BucketName amzn-s3-demo-bucket1 -Key HappyFace.jpg -file HappyFace.jpg  -StoredCredentials UserDaveAccountA

1. 完成測試後，您可以執行下列動作來清除：

   1. 使用帳戶 A 憑證登入 AWS Management Console，並執行下列操作：

      • 在 Amazon S3 主控台中，移除連接至 的儲存貯體政策 amzn-s3-demo-bucket1。 在儲存貯體屬性 中，刪除許可區段中的政策。

      • 如果儲存貯體是為此練習而建立，請在 Amazon S3 主控台中刪除物件，然後刪除儲存貯體。

      • 在IAM主控台 中，移除AccountAadmin使用者。如需step-by-step 指示，請參閱 使用者指南 IAM中的刪除使用者。 IAM

2. 使用帳戶 B 憑證登入 AWS Management Console。在IAM主控台 中，刪除使用者 AccountBadmin。