範例 4 - 將跨帳戶許可授予其未擁有的物件的儲存貯體擁有者

請確定您有三個 AWS 帳戶 ，且每個帳戶都有一個管理員使用者，如上一節的資料表所示。

1. AWS 帳戶視需要註冊 。我們的這些帳戶指的是帳戶 A、帳戶 B 和帳戶 C。

2. 使用帳戶 A 憑證，登入 IAM 主控台並執行下列動作以建立管理員使用者：

   • 建立使用者AccountAadmin並記下其安全憑證。如需新增使用者的詳細資訊，請參閱 IAM 使用者指南中的在 中建立 AWS 帳戶 IAM 使用者。

   • 透過連接提供完整存取權的使用者政策，將管理員權限授予 AccountAadmin。如需指示，請參閱 IAM 使用者指南中的管理 Word 政策。 IAM

   • 在 IAM 主控台儀表板中，記下 IAM 使用者登入 URL。此帳戶中的使用者在登入 時必須使用此URL AWS Management Console。如需詳細資訊，請參閱 IAM 使用者指南中的以 Word 使用者 AWS Management Console 身分登入 。 IAM

3. 重複前一個步驟，以在帳戶 B 和帳戶 C 中建立管理員使用者。

對於帳戶 C，請注意正式使用者 ID。

當您在帳戶 A 中建立 IAM 角色時，信任政策會授予帳戶 C 透過指定帳戶 ID 擔任角色的許可。您可以如下尋找帳戶資訊：

1. 使用您的 AWS 帳戶 ID 或帳戶別名、IAM 使用者名稱和密碼登入 Amazon S3 主控台。

2. 選擇 Amazon S3 儲存貯體的名稱，以檢視該儲存貯體的詳細資訊。

3. 選擇 Permissions (許可) 標籤，然後選擇 Access Control List (存取控制清單)。

4. 在 Access for your AWS 帳戶 account (存取您的 AWS 帳戶帳戶) 區段的 Account (帳戶) 欄中是長識別碼，例如 c1daexampleaaf850ea79cf0430f33d72579fd1611c97f7ded193374c0b163b6。這是您的正式使用者 ID。

建立儲存貯體政策時，您需要下列資訊。請注意這些值：

設定 AWS Command Line Interface (CLI) 或 AWS Tools for Windows PowerShell。請確定您儲存管理員使用者憑證，如下所示：

如需說明，請參閱 設定演練的工具。

建立儲存貯體。此練習採用儲存貯體名稱 amzn-s3-demo-bucket1。

如需說明，請參閱 建立儲存貯體。

連接下列儲存貯體政策。此政策會授予帳戶 B 管理員有條件許可，以上傳物件。

透過提供您自己的 amzn-s3-demo-bucket1、 AccountB-ID和 值來更新政策CanonicalUserId-of-AWSaccountA-BucketOwner。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "111",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::AccountB-ID:user/AccountBadmin"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*"
        },
        {
            "Sid": "112",
            "Effect": "Deny",
            "Principal": {
                "AWS": "arn:aws:iam::AccountB-ID:user/AccountBadmin"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*",
            "Condition": {
                "StringNotEquals": {
                    "s3:x-amz-grant-full-control": "id=CanonicalUserId-of-AWSaccountA-BucketOwner"
                }
            }
        }
    ]
}

建立角色之前，請準備定義角色所需許可的受管政策。您可以在稍後的步驟將此政策連接至角色。

1. 在左側導覽窗格中，選擇政策，然後選擇建立政策。

2. 在建立您自己的政策旁邊，選擇選取。

3. 在 Policy Name (政策名稱) 欄位中，輸入 access-accountA-bucket。

4. 複製下列存取政策，並將其貼入 Policy Document (政策文件) 欄位。存取政策會授予角色s3:GetObject許可，因此當帳戶 C 使用者擔任角色時，只能執行 s3:GetObject操作。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "s3:GetObject",
         "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*"
       }
     ]
   }

5. 選擇 建立政策 。

   新的政策會出現在受管政策清單中。

在左側導覽窗格中，選擇角色，然後選擇建立新角色。

在選取角色類型下，選取跨帳戶存取的角色，然後選擇 AWS 帳戶 在您擁有的之間提供存取權旁的選取按鈕。

輸入帳戶 C 帳戶 ID。

在此演練中，您不需要要求使用者擁有多重要素驗證 (MFA) 來擔任角色，因此請保留未選取的該選項。

選擇下一步以設定將與角色相關聯的許可。

選取您建立的 access-accountA-bucket 政策旁的核取方塊，然後選擇下一步。

即會出現 Review (檢閱) 頁面，讓您可以在建立角色之前確認角色的設定。此頁面上要注意的一個極重要項目是可傳送給需要使用此角色之使用者的連結。使用連結的使用者會直接前往 Switch Role 頁面，其中包含已填入的帳戶 ID 和角色名稱欄位。您也可以稍後在角色摘要頁面上查看此連結，以取得任何跨帳戶角色。

examplerole 輸入角色名稱，然後選擇下一步。

檢閱角色後，選擇建立角色。

examplerole 角色即會顯示在角色清單中。

選擇角色名稱 examplerole。

選取 Trust Relationships (信任關係) 標籤。

選擇顯示政策文件，並確認顯示的信任政策符合下列政策。

下列信任政策會建立與帳戶 C 的信任，方法是讓它執行 sts:AssumeRole 動作。如需詳細資訊，請參閱 AssumeRole 在 AWS Security Token Service API 參考中。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::AccountC-ID:root"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

請注意您建立之examplerole角色的 Amazon Resource Name (ARN)。

稍後在下列步驟中，您將連接使用者政策，以允許 IAM 使用者擔任此角色，並依 ARN 值識別角色。

使用帳戶 C 的 IAM 使用者登入 URL，首先以AccountCadmin使用者 AWS Management Console 身分登入 。

在 IAM 主控台中，建立使用者 Dave。

如需 step-by-step 指示，請參閱 IAM 使用者指南中的建立 Word 使用者 (AWS Management Console)。 IAM

請注意 Dave 憑證。Dave 需要這些憑證，才能採用 examplerole 角色。

為 Dave IAM 使用者建立內嵌政策，以將sts:AssumeRole許可委派給帳戶 A 中examplerole角色的 Dave。

1. 在左側導覽窗格中，選擇 Users (使用者)。

2. 選擇使用者名稱 Dave。

3. 在使用者詳細資訊頁面上，選取 Permissions (許可) 標籤，然後展開 Inline Policies (內嵌政策) 區段。

4. 選擇 click here (按一下這裡) (或 Create User Policy (建立使用者政策))。

5. 選擇 Custom Policy (自訂政策)，然後選擇 Select (選取)。

6. 在 Policy Name (政策名稱) 欄位中輸入政策的名稱。

7. 將下列政策複製到 Policy Document (政策文件) 欄位。

   您必須提供 來更新政策AccountA-ID。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["sts:AssumeRole"],
         "Resource": "arn:aws:iam::AccountA-ID:role/examplerole"
       }
     ]
   }

8. 選擇 Apply Policy (套用政策)

透過 AWS CLI 新增另一個設定檔 將 Dave 的憑證儲存至 的組態檔案AccountCDave。

[profile AccountCDave]
aws_access_key_id = UserDaveAccessKeyID
aws_secret_access_key = UserDaveSecretAccessKey
region = us-west-2

在命令提示中，使用 AccountCDave 設定檔執行下列 AWS CLI assume-role命令。

您必須提供examplerole定義 AccountA-ID 的 ，以更新 命令中的 ARN 值。

aws sts assume-role --role-arn arn:aws:iam::AccountA-ID:role/examplerole --profile AccountCDave --role-session-name test

為了回應， AWS Security Token Service (AWS STS) 會傳回暫時安全憑證 （存取金鑰 ID、秘密存取金鑰和工作階段權杖）。

在TempCred設定檔下的 AWS CLI 組態檔案中儲存臨時安全憑證。

[profile TempCred]
aws_access_key_id = temp-access-key-ID
aws_secret_access_key = temp-secret-access-key
aws_session_token = session-token
region = us-west-2

在命令提示中，執行下列 AWS CLI 命令，以使用暫時憑證存取物件。例如， 命令指定要擷取物件之HappyFace.jpg物件中繼資料的標頭 API。

aws s3api get-object --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg SaveFileAs.jpg --profile TempCred

因為連接至 examplerole 的存取政策允許這些動作，所以 Amazon S3 會處理要求。您可以嘗試對儲存貯體中的其他任何物件執行其他任何動作。

如果您嘗試任何其他動作，例如get-object-acl，由於不允許該角色執行該動作，因此將拒絕您的許可。

aws s3api get-object-acl --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg --profile TempCred

我們已使用使用者 Dave 來採用角色，以及使用暫時性憑證來存取物件。它也可以是帳戶 C 中存取 amzn-s3-demo-bucket1 中物件的應用程式。應用程式可以取得暫時性安全憑證，而且帳戶 C 可以將採用 examplerole 的許可委派給應用程式。

完成測試後，您可以執行下列動作來清除：

1. 使用帳戶 A 憑證登入 AWS Management Console，並執行下列操作：

   • 在 Amazon S3 主控台中，移除連接至 amzn-s3-demo-bucket1 的儲存貯體政策。在儲存貯體 Properties (屬性) 中，刪除 Permissions (許可) 區段中的政策。

   • 如果儲存貯體是為此練習而建立，請在 Amazon S3 主控台中刪除物件，然後刪除儲存貯體。

   • 在 IAM 主控台中，移除examplerole您在帳戶 A 中建立的 。For step-by-step 指示，請參閱 IAM 使用者指南中的刪除 IAM 使用者。

   • 在 IAM 主控台中，移除 AccountAadmin 使用者。

使用帳戶 B 憑證登入 IAM 主控台。刪除使用者 AccountBadmin。

使用帳戶 C 憑證登入 IAM 主控台。刪除 AccountCadmin 和使用者 Dave。