Kontoübergreifender Zugriff mit S3 Access Grants

Mit S3 Access Grants können Sie Amazon-S3-Datenzugriff auf Folgendes gewähren:

Konfigurieren Sie zunächst den kontoübergreifenden Zugriff für das andere Konto. Dazu gehört die Gewährung des Zugriffs auf Ihre S3-Access-Grants-Instance mithilfe einer Ressourcenrichtlinie. Erteilen Sie anschließend mithilfe von Gewährungen Zugriff auf Ihre S3-Daten (Buckets, Präfixe oder Objekte).

Nachdem Sie den kontoübergreifenden Zugriff konfiguriert haben, kann das andere Konto temporäre Anmeldeinformationen für Ihre Amazon-S3-Daten von S3 Access Grants anfordern. Die folgende Abbildung zeigt den Benutzerablauf für den kontoübergreifenden S3-Zugriff über S3 Access Grants:

Konfigurieren des kontoübergreifenden Zugriffs mit S3 Access Grants

Gehen Sie wie folgt vor, um kontoübergreifenden S3-Zugriff über S3 Access Grants zu gewähren:

Schritt 1: Konfigurieren Sie eine S3-Access-Grants-Instance in Ihrem Konto

Zunächst müssen Sie eine S3-Access-Grants-Instance in Ihrem Konto 111122223333 haben, um den Zugriff auf Ihre Amazon-S3-Daten zu verwalten. Sie müssen eine S3-Access-Grants-Instance in jeder AWS-Region erstellen, in der die S3-Daten, die Sie teilen möchten, gespeichert sind. Wenn Sie Daten in mehr als einer Person gemeinsam nutzen AWS-Region, wiederholen Sie jeden dieser Konfigurationsschritte für jede AWS-Region. Wenn Sie bereits über eine S3 Access Grants-Instanz in dem Bereich verfügen, in AWS-Region dem Ihre S3-Daten gespeichert sind, fahren Sie mit dem nächsten Schritt fort. Wenn Sie keine S3-Access-Grants-Instance konfiguriert haben, finden Sie weitere Informationen unter Arbeiten mit S3-Access-Grants-Instances, um diesen Schritt abzuschließen.

Schritt 2: Konfigurieren Sie die Ressourcenrichtlinie für Ihre S3-Access-Grants-Instance, um kontoübergreifenden Zugriff zu gewähren

Nachdem Sie eine S3-Access-Grants-Instance in Ihrem Konto 111122223333 für kontoübergreifenden Zugriff erstellt haben, konfigurieren Sie die ressourcenbasierte Richtlinie für die S3-Access-Grants-Instance in Ihrem Konto 111122223333, um kontoübergreifenden Zugriff zu gewähren. Die S3-Access-Grants-Instance selbst unterstützt ressourcenbasierte Richtlinien. Mit der richtigen ressourcenbasierten Richtlinie können Sie AWS Identity and Access Management (IAM-) Benutzern oder Rollen von anderen Benutzern Zugriff auf Ihre S3 Access AWS-Konten Grants-Instanz gewähren. Kontoübergreifender Zugriff gewährt nur diese Berechtigungen (Aktionen):

Sie können auswählen, welche dieser Berechtigungen in die Ressourcenrichtlinie aufgenommen werden sollen. Diese Ressourcenrichtlinie für die S3-Access-Grants-Instance ist eine reguläre ressourcenbasierte Richtlinie und unterstützt alles, was auch die IAM-Richtliniensprache unterstützt. In derselben Richtlinie können Sie spezifischen IAM-Identitäten in Ihrem Konto 111122223333 Zugriff gewähren, zum Beispiel durch die Verwendung der Bedingung aws:PrincipalArn. Mit S3 Access Grants ist das jedoch nicht erforderlich. Stattdessen können Sie innerhalb Ihrer S3-Access-Grants-Instance Gewährungen für einzelne IAM-Identitäten in Ihrem Konto sowie für das andere Konto erstellen. Da Sie jede Zugriffsgewährung über S3 Access Grants verwalten, können Sie Ihre Berechtigungen skalieren.

Wenn Sie den AWS Resource Access Manager (AWS RAM) bereits verwenden, können Sie damit Ihre s3:AccessGrants-Ressourcen mit anderen Konten oder innerhalb Ihrer Organisation teilen. Weitere Informationen finden Sie unter Arbeiten mit gemeinsam genutzten AWS Ressourcen. Wenn Sie die Ressourcenrichtlinie nicht verwenden AWS RAM, können Sie die Ressourcenrichtlinie auch mithilfe der API-Operationen S3 Access Grants oder AWS Command Line Interface (AWS CLI) hinzufügen.

{
"Version": "2012-10-17",
"Statement": [
{
	"Effect": "Allow", 
	"Principal": {
	"AWS": "444455556666"
}, 
	"Action": [
		"s3:ListAccessGrants",
		"s3:ListAccessGrantsLocations",
		"s3:GetDataAccess",
		"s3:GetAccessGrantsInstanceForPrefix"
	],
	"Resource": "arn:aws:s3:us-east-2:111122223333:access-grants/default"
} ]
}

	aws s3control put-access-grants-instance-resource-policy \
	--account-id 111122223333 \
	--policy file://resourcePolicy.json \
	--region us-east-2
	{
		"Policy": "{\n 
		  \"Version\": \"2012-10-17\",\n 
		  \"Statement\": [{\n  
			\"Effect\": \"Allow\",\n
			\"Principal\": {\n
			  \"AWS\": \"444455556666\"\n
			},\n  
			\"Action\": [\n
			  \"s3:ListAccessGrants\",\n
			  \"s3:ListAccessGrantsLocations\",\n
			  \"s3:GetDataAccess\",\n
			  \"s3:GetAccessGrantsInstanceForPrefix\",\n
			  \"s3:ListCallerAccessGrants"\n
			],\n
			\"Resource\": \"arn:aws:s3:us-east-2:111122223333:access-grants/default\"\n
		   }\n  
		  ]\n
		  }\n",
		"CreatedAt": "2023-06-16T00:07:47.473000+00:00"
	}

aws s3control get-access-grants-instance-resource-policy \
--account-id 111122223333 \
--region us-east-2

{
"Policy": "{\"Version\":\"2012-10-17\",\"Statement\":[{\"Effect\":\"Allow\",\"Principal\":{\"AWS\":\"arn:aws:iam::111122223333:root\"},\"Action\":[\"s3:ListAccessGrants\",\"s3:ListAccessGrantsLocations\",\"s3:GetDataAccess\",\"s3:GetAccessGrantsInstanceForPrefix\",\"s3:ListCallerAccessGrants\"],\"Resource\":\"arn:aws:
s3:us-east-2:111122223333:access-grants/default\"}]}",
"CreatedAt": "2023-06-16T00:07:47.473000+00:00"
}

aws s3control delete-access-grants-instance-resource-policy \
--account-id 111122223333 \
--region us-east-2

// No response body

{
"Version": "2012-10-17",
"Statement": [
{
	"Effect": "Allow", 
	"Principal": {
	"AWS": "444455556666"
}, 
	"Action": [
		"s3:ListAccessGrants",
		"s3:ListAccessGrantsLocations",
		"s3:GetDataAccess",
		"s3:GetAccessGrantsInstanceForPrefix"
	],
	"Resource": "arn:aws:s3:us-east-2:111122223333:access-grants/default"
} ]
}

Schritt 3: Erteilen Sie IAM-Identitäten in einem zweiten Konto die Berechtigung, die S3-Access-Grants-Instance in Ihrem Konto aufzurufen

Nachdem der Eigentümer der Amazon-S3-Daten die kontoübergreifende Richtlinie für die S3-Access-Grants-Instance in Konto 111122223333 konfiguriert hat, muss der Eigentümer des zweiten Kontos 444455556666 eine identitätsbasierte Richtlinie für seine IAM-Benutzer oder -Rollen erstellen und diesen Zugriff auf die S3-Access-Grants-Instance gewähren. Nehmen Sie in die identitätsbasierte Richtlinie eine oder mehrere der folgenden Aktionen auf, je nachdem, was in der Ressourcenrichtlinie für die S3-Access-Grants-Instance gewährt wurde und welche Berechtigungen Sie gewähren möchten:

Gemäß dem kontoübergreifenden AWS -Zugriffsmuster müssen die IAM-Benutzer oder -Rollen im zweiten Konto 444455556666 explizit über eine oder mehrere dieser Berechtigungen verfügen. Erteilen Sie beispielsweise die s3:GetDataAccess-Berechtigung, damit der IAM-Benutzer oder die -Rolle die S3-Access-Grants-Instance im Konto 111122223333 aufrufen kann, um Anmeldeinformationen anzufordern.

Wenn Sie diese Beispielbefehl verwenden möchten, ersetzen Sie user input placeholders durch Ihre Informationen.

{
	"Version": "2012-10-17",
	"Statement": [
	{
		"Effect": "Allow", 
		"Action": [
			"s3:GetDataAccess",
		],
			"Resource": "arn:aws:s3:us-east-2:111122223333:access-grants/default"
		} 
	]
}

Informationen zum Bearbeiten einer identitätsbasierten IAM-Richtlinie finden Sie unter Bearbeiten von IAM-Richtlinien im AWS Identity and Access Management -Handbuch.

Schritt 4: Erstellen Sie eine Gewährung in der S3-Access-Grants-Instance Ihres Kontos, die der IAM-Identität im zweiten Konto Zugriff auf einige Ihrer S3-Daten gewährt

Für den letzten Konfigurationsschritt können Sie in der S3-Access-Grants-Instance in Ihrem Konto 111122223333 eine Gewährung erstellen, die Zugriff auf die IAM-Identität im zweiten Konto 444455556666 auf einige der S3-Daten in Ihrem Konto gewährt. Sie können dies mithilfe der Amazon S3 S3-Konsole, CLI, API und tun SDKs. Weitere Informationen finden Sie unter Erstellen von Gewährungen.

Geben Sie in der Gewährung den AWS ARN der IAM-Identität des zweiten Kontos an und geben Sie an, für welchen Speicherort in Ihren S3-Daten (ein Bucket, ein Präfix oder ein Objekt) Sie Zugriff gewähren. Dieser Speicherort muss bereits in Ihrer S3-Access-Grants-Instance registriert sein. Weitere Informationen finden Sie unter Registrieren eines Speicherorts. Sie können optional ein Unterpräfix angeben. Wenn es sich beim Speicherort, für den Sie Zugriff gewähren, um einen Bucket handelt und Sie den Zugriff weiter auf ein bestimmtes Objekt in diesem Bucket einschränken möchten, übergeben Sie den Objektschlüsselnamen in das S3SubPrefix-Feld. Oder wenn Sie den Zugriff auf die Objekte im Bucket mit Schlüsselnamen, die mit einem bestimmten Präfix wie 2024-03-research-results/ beginnen, beschränken möchten, dann übergeben Sie S3SubPrefix=2024-03-research-results/.

Im Folgenden finden Sie ein Beispiel für einen CLI-Befehl zum Erstellen einer Zugriffsgewährung für eine Identität im zweiten Konto. Weitere Informationen finden Sie unter Erstellen von Gewährungen. Wenn Sie diese Beispielbefehl verwenden möchten, ersetzen Sie user input placeholders durch Ihre Informationen.

aws s3control create-access-grant \
--account-id 111122223333 \
--access-grants-location-id default \
--access-grants-location-configuration S3SubPrefix=prefixA* \
--permission READ \
--grantee GranteeType=IAM,GranteeIdentifier=arn:aws:iam::444455556666:role/data-consumer-1

Nach der Konfiguration des kontenübergreifenden Zugriffs kann der Benutzer oder die Rolle im zweiten Konto wie folgt vorgehen: