Anfordern des Zugriffs auf Amazon-S3-Daten über S3 Access Grants

Nachdem Sie mithilfe von S3 Access Grants eine Zugriffsberechtigung erstellt haben, können Empfänger Anmeldeinformationen für den Zugriff auf die S3-Daten anfordern, auf die ihnen Zugriff gewährt wurde. Bei den Empfängern kann es sich um AWS Identity and Access Management (IAM-) Principals, Ihre Unternehmensverzeichnisidentitäten oder autorisierte Anwendungen handeln.

Eine Anwendung oder AWS-Service kann den GetDataAccess API-Vorgang S3 Access Grants verwenden, um S3 Access Grants im Namen eines Empfängers um Zugriff auf Ihre S3-Daten zu bitten. GetDataAccessüberprüft zunächst, ob Sie dieser Identität Zugriff auf die Daten gewährt haben. Anschließend ruft S3 Access Grants mithilfe der AssumeRole-API-Operation ein temporäres Anmeldeinformationstoken ab und sendet es an den Anforderer. Dieses Token für temporäre Anmeldeinformation ist ein AWS Security Token Service (AWS STS)-Token.

Die GetDataAccess-Anforderung muss den Parameter target enthalten, um den Umfang der S3-Daten anzugeben, für den die temporären Anmeldeinformationen gelten. Dieser target Umfang kann dem Umfang des Zuschusses oder einem Teil dieses Umfangs entsprechen, der Umfang muss jedoch innerhalb des target Geltungsbereichs des Zuschusses liegen, der dem Zuschussempfänger gewährt wurde. In der Anforderung muss auch der Parameter permission angegeben werden, der die Berechtigungsstufe für die temporären Anmeldeinformationen angibt, READ, WRITE oder READWRITE.

Recht

Der Anforderer kann die Berechtigungsstufe des temporären Tokens in der Anforderung für Anmeldeinformationen angeben. Mit dem Parameter privilege kann der Anforderer den Umfang des Zugriffs für die temporären Anmeldeinformationen innerhalb der Grenzen des Gewährungsumfangs reduzieren oder erhöhen. Der Standardwert des Parameters privilege ist Default. Das bedeutet, dass der Zielumfang der zurückgegebenen Anmeldeinformationen der ursprüngliche Umfang der Gewährung ist. Der andere mögliche Wert für privilege ist Minimal. Wenn der target-Umfang im Vergleich zum ursprünglichen Umfang der Gewährung reduziert wird, wird der Umfang der temporären Anmeldeinformationen an den target-Umfang angepasst, solange der target-Umfang innerhalb des Gewährungsumfangs liegt.

Die folgende Tabelle zeigt die Auswirkungen des Parameters privilege auf zwei Gewährungen. Eine Gewährung hat den Umfang S3://amzn-s3-demo-bucket1/bob/*. Dieser Umfang umfasst das gesamte Präfix bob/ im Bucket amzn-s3-demo-bucket1. Die andere Gewährung hat den Umfang S3://amzn-s3-demo-bucket1/bob/reports/*. Dieser Umfang umfasst nur das Präfix bob/reports/ im Bucket amzn-s3-demo-bucket1.

Identitäten von Verzeichnissen

GetDataAccessberücksichtigt bei der Suche nach geeigneten Zuschüssen alle Identitäten, die in einem Antrag enthalten sind. Gibt für Unternehmensverzeichnisidentitäten GetDataAccess auch die Grants der IAM-Identität zurück, die für die Sitzung mit identitätssensitiver Erkennung verwendet wird. Weitere Informationen zu identitätsbewussten Sitzungen finden Sie im Benutzerhandbuch unter Erteilen von Berechtigungen zur Verwendung identitätsbewusster Konsolensitzungen.AWS Identity and Access Management GetDataAccessgeneriert Anmeldeinformationen, wobei der Gültigkeitsbereich auf die restriktivste Erteilung beschränkt wird, wie in der folgenden Tabelle dargestellt:

Dauer

Der Parameter durationSeconds legt die Gültigkeitsdauer der temporären Anmeldeinformationen in Sekunden fest. Der Standardwert ist 3600 Sekunden (1 Stunde). Der Anforderer (Empfänger) kann jedoch einen Bereich von 900 Sekunden (15 Minuten) bis 43200 Sekunden (12 Stunden) angeben. Wenn der Empfänger einen höheren Wert als diesen Höchstwert anfordert, schlägt die Anforderung fehl.

Beispiele

Sie können temporäre Anmeldeinformationen anfordern, indem Sie die AWS Command Line Interface (AWS CLI), die Amazon S3 S3-REST-API und die verwenden AWS SDKs. Informationen finden Sie in diesen Beispielen.

Weitere Informationen finden Sie GetDataAccessin der Amazon Simple Storage Service API-Referenz.

aws s3control get-data-access \
--account-id 111122223333 \
--target s3://amzn-s3-demo-bucket/prefixA* \
--permission READ \
--privilege Default \
--region us-east-2

{
"Credentials": {
"AccessKeyId": "Example-key-id",
"SecretAccessKey": "Example-access-key",
"SessionToken": "Example-session-token",
"Expiration": "2023-06-14T18:56:45+00:00"},
"MatchedGrantTarget": "s3://amzn-s3-demo-bucket/prefixA**",
"Grantee": {
    "GranteeType": "IAM",
    "GranteeIdentifier": "arn:aws:iam::111122223333:role/role-name"
 }
}