Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Einrichten von Storage Browser für S3

Um Endbenutzer mit Amazon-S3-Standorten zu verbinden, müssen Sie zunächst eine Authentifizierungs- und Autorisierungsmethode einrichten. Es gibt drei Methoden, um eine Authentifizierungs- und Autorisierungsmethode mit Storage Browser einzurichten:

Methode 1: Verwalten des Datenzugriffs für Ihre Kunden und Drittanbieter

Mit dieser Methode können Sie AWS Amplify Auth verwenden, um Datenzugriff und -sicherheit zu verwalten. Diese Methode ist ideal, wenn Sie Ihre Kunden oder Drittanbieter mit Daten in S3 verbinden möchten. Mit dieser Option können sich Ihre Kunden mithilfe von Identitätsanbietern für soziale Netzwerke oder Unternehmen authentifizieren.

Sie stellen Ihren Endbenutzern und Drittanbietern IAM-Anmeldeinformationen zur Verfügung, indem Sie AWS Amplify Auth mit einem S3-Bucket verwenden, der für die Verwendung von Amplify Storage konfiguriert ist. AWS Amplify Auth basiert auf Amazon Cognito, einem vollständig verwalteten Kundenidentitäts- und Zugriffsverwaltungsservice, mit dem Sie Benutzer über ein integriertes Benutzerverzeichnis oder Unternehmensverzeichnis oder über Anbieter von Verbraucheridentitäten authentifizieren und autorisieren können. Das Amplify-Autorisierungsmodell definiert, auf welche Präfixe der aktuell authentifizierte Benutzer zugreifen kann. Weitere Informationen zum Einrichten der Autorisierung für AWS Amplify finden Sie unter Einrichten des Speichers.

Um die Komponente mit den Amplify-Authentifizierungs- und Speichermethoden zu initialisieren, fügen Sie Ihrer Webanwendung den folgenden Codeausschnitt hinzu:

import {
  createAmplifyAuthAdapter,
  createStorageBrowser,
} from '@aws-amplify/ui-react-storage/browser';
import "@aws-amplify/ui-react-storage/styles.css";

import config from './amplify_outputs.json';

Amplify.configure(config);

export const { StorageBrowser } = createStorageBrowser({
  config: createAmplifyAuthAdapter(),
});

Methode 2: Verwaltung des Datenzugriffs für Ihre IAM-Prinzipale für Ihr Konto AWS

Wenn Sie den Zugriff für Ihre IAM-Prinzipale oder für Sie AWS-Konto direkt verwalten möchten, können Sie eine IAM-Rolle erstellen, die über Berechtigungen zum Aufrufen der GetDataAccessS3-API-Betrieb. Um dies einzurichten, müssen Sie eine S3 Access Grants-Instanz erstellen, um den angegebenen IAM-Identitäten die Berechtigungen für S3-Allzweck-Buckets und -Präfixe zuzuordnen. Die Storage Browser-Komponente (die nach dem Abrufen der IAM-Anmeldeinformationen auf der Clientseite aufgerufen werden muss) ruft dann den ListCallerAccessGrantsS3-API-Vorgang zum Abrufen der verfügbaren Zuschüsse für den Identitätsanforderer und zum Auffüllen der Speicherorte in der Komponente. Nachdem Sie die s3:GetDataAccess-Genehmigung erhalten haben, werden diese Anmeldeinformationen dann von der Storage-Browser-Komponente verwendet, um den Datenzugriff auf S3 anzufordern.

import {
  createManagedAuthAdapter,
  createStorageBrowser,
} from '@aws-amplify/ui-react-storage/browser';
import "@aws-amplify/ui-react-storage/styles.css";

export const { StorageBrowser } = createStorageBrowser({
  config: createManagedAuthAdapter({
    credentialsProvider: async (options?: { forceRefresh?: boolean }) => {
      // return your credentials object
      return {
        credentials: {
          accessKeyId: 'my-access-key-id',
          secretAccessKey: 'my-secret-access-key',
          sessionToken: 'my-session-token',
          expiration: new Date()
        },
      }
    },
    // AWS `region` and `accountId`
    region: '',
    accountId: '',
    // call `onAuthStateChange` when end user auth state changes 
    // to clear sensitive data from the `StorageBrowser` state
    registerAuthListener: (onAuthStateChange) => {},
  })
});

Methode 3: Verwalten des Datenzugriffs in großem Umfang

Wenn Sie Ihrem IAM Identity Center eine S3-Access-Grants-Instance zuordnen möchten, um eine skalierbarere Lösung zu erhalten (z. B. Datenzugriff für Ihr gesamtes Unternehmen gewähren), können Sie im Namen des aktuell authentifizierten Benutzers Daten von Amazon S3 anfordern. Sie können beispielsweise Benutzergruppen in Ihrem Unternehmensverzeichnis Zugriff auf Ihre Daten in S3 gewähren. Mit diesem Ansatz können Sie S3-Access-Grants-Berechtigungen für Ihre Benutzer und Gruppen zentral verwalten, einschließlich derer, die bei externen Anbietern wie Microsoft Entra, Okta und anderen gehostet werden.

Wenn Sie diese Methode verwenden, ermöglicht Ihnen die Integration mit dem IAM Identity Center die Verwendung vorhandener Benutzerverzeichnisse. Ein weiterer Vorteil der Weitergabe vertrauenswürdiger Identitäten im IAM Identity Center besteht darin, dass jedes AWS CloudTrail -Datenereignis für Amazon S3 einen direkten Verweis auf die Identität des Endbenutzers enthält, der auf die S3-Daten zugegriffen hat.

Wenn Sie über eine Anwendung verfügen, die OAuth 2.0 unterstützt, und Ihre Benutzer von diesen Anwendungen aus Zugriff auf AWS Dienste benötigen, empfehlen wir Ihnen, Trusted Identity Propagation zu verwenden. Mit Trusted Identity Propagation kann sich ein Benutzer bei einer Anwendung anmelden, und diese Anwendung kann die Identität des Benutzers bei allen Anfragen weitergeben, die auf Daten in AWS Diensten zugreifen. Diese Anwendung interagiert im Namen aller authentifizierten Benutzer mit IAM Identity Center. Weitere Informationen finden Sie unter Verbreitung vertrauenswürdiger Identitäten mit vom Kunden verwalteten Anwendungen.

Aufstellen

Um die Storage Browser-Authentifizierung in der vertrauenswürdigen Identitätsverbreitung AWS Management Console mithilfe von S3 Access Grants und IAM Identity Center einzurichten, müssen Ihre Anwendungen im Namen des aktuell authentifizierten Benutzers Daten von Amazon S3 anfordern. Mit diesem Ansatz können Sie Benutzern oder Benutzergruppen aus Ihrem Unternehmensverzeichnis direkten Zugriff auf Ihre S3-Buckets, -Präfixe oder -Objekte gewähren. Das bedeutet, dass Ihre Anwendung keine Benutzer einem IAM-Prinzipal zuordnen muss.

Der folgende Workflow beschreibt die Schritte zur Einrichtung von Storage Browser für S3 mithilfe von IAM Identity Center und S3 Access Grants:

Aktivieren des IAM Identity Center für Ihr AWS Organizations

Gehen Sie wie folgt vor, um IAM Identity Center für Sie zu AWS Organizations aktivieren:

AWS Organizations sendet automatisch eine Bestätigungs-E-Mail an die Adresse, die mit Ihrem Verwaltungskonto verknüpft ist. Es kann eine Verzögerung eintreten, bevor Sie die Verifizierungs-E-Mail erhalten. Stellen Sie sicher, dass Sie Ihre E-Mail-Adresse innerhalb von 24 Stunden verifizieren, bevor Ihre Bestätigungs-E-Mail abläuft.

Konfigurieren Sie den AWS Identity and Access Management Identity Center-Verbund

Um Storage Browser für S3 mit Unternehmensverzeichnisbenutzern zu verwenden, müssen Sie IAM Identity Center für die Verwendung eines externen Identitätsanbieters (IdP) konfigurieren. Sie können den bevorzugten Identitätsanbieter Ihrer Wahl verwenden. Beachten Sie jedoch, dass jeder Identitätsanbieter unterschiedliche Konfigurationseinstellungen verwendet. Tutorials zur Verwendung verschiedener externer Identitätsanbieter finden Sie in den Tutorials zur Quelle von IAM Identity Center.

Fügen Sie in der AWS Identity and Access Management -Identity-Center-Konsole einen vertrauenswürdigen Token-Aussteller hinzu

Der vertrauenswürdige Token-Aussteller repräsentiert Ihren externen Identitätsanbieter im AWS Identity and Access Management Identity Center und erkennt Token für die authentifizierten Benutzer Ihrer Anwendung. Der Kontoinhaber der IAM Identity Center-Instanz in Ihrem Fall AWS Organizations muss diese Schritte ausführen. Diese Schritte können entweder in der IAM-Identity-Center-Konsole oder programmgesteuert ausgeführt werden.

Gehen Sie wie folgt vor, um in der AWS Identity and Access Management Identity Center-Konsole einen vertrauenswürdigen Token-Aussteller hinzuzufügen:

Erstellen Sie eine IAM-Rolle für die bootstrap-Anwendung und identity bearer.

Um sicherzustellen, dass die bootstrap-Anwendung und die identity bearer-Benutzer ordnungsgemäß zusammenarbeiten können, stellen Sie sicher, dass Sie zwei IAM-Rollen erstellen. Eine IAM-Rolle ist für die bootstrap-Anwendung erforderlich und die andere IAM-Rolle muss für den Identitätsträger oder die Endbenutzer verwendet werden, die auf die Webanwendung zugreifen, die Zugriff über S3 Access Grants anfordert. Die bootstrap-Anwendung empfängt das vom Identitätsanbieter ausgegebene Token und ruft die CreateTokenWithIAM API auf. Dabei wird dieses Token mit dem vom Identity Center ausgegebenen Token ausgetauscht.

Erstellen Sie eine IAM-Rolle, wie bootstrap-role, mit Berechtigungen wie den folgenden. Die folgende Beispiel-IAM-Richtlinie erteilt der bootstrap-role Berechtigungen, den Token-Austausch durchzuführen:

{
    "Version": "2012-10-17",
    "Statement": [{
        "Action": [
            "sso-oauth:CreateTokenWithIAM",
        ],
        "Resource": "arn:${Partition}:sso::${AccountId}:application/${InstanceId}/${ApplicationId}",
        "Effect": "Allow"
    },
    {
        "Action": [
            "sts:AssumeRole",
            "sts:SetContext"
        ],
        "Resource": "arn:aws:iam::${AccountId}:role/identity-bearer-role",
        "Effect": "Allow"
    }]
}

Erstellen Sie dann eine zweite IAM-Rolle (z. B.identity-bearer-role), die der Identity Broker verwendet, um die IAM-Anmeldeinformationen zu generieren. Die vom Identity Broker an die Webanwendung zurückgegebenen IAM-Anmeldeinformationen werden von der Komponente Storage Browser for S3 verwendet, um den Zugriff auf S3-Daten zu ermöglichen:

{
    "Action": [
        "s3:GetDataAccess",
        "s3:ListCallerAccessGrants",
    ],
    "Resource": "arn:${Partition}:s3:${Region}:${Account}:access-grants/default",
    "Effect": "Allow"
} 

Diese IAM-Rolle (identity-bearer-role) muss eine Vertrauensrichtlinie mit der folgenden Anweisung verwenden:

{
   "Effect": "Allow",
   "Principal": {
      "AWS": "arn:${Partition}:iam::${Account}:role/${RoleNameWithPath}"
   },
   "Action": [
       "sts:AssumeRole",
       "sts:SetContext"
   ]
}

Ihre Anwendung in IAM Identity Center erstellen und konfigurieren

Gehen Sie wie folgt vor, um eine vom Kunden verwaltete Anwendung in AWS IAM Identity Center zu erstellen und zu konfigurieren:

Nachdem Sie Ihre Anwendungen eingerichtet haben, können Ihre Benutzer von ihrem Zugriffsportal aus auf Ihre Anwendungen AWS zugreifen, basierend auf den von Ihnen erstellten Berechtigungssätzen und dem Benutzerzugriff, den Sie zugewiesen haben.

Fügen Sie S3 Access Grants als vertrauenswürdige Anwendung für die Verbreitung von Identitäten hinzu

Nachdem Sie Ihre vom Kunden verwaltete Anwendung eingerichtet haben, müssen Sie S3 Access Grants für die Verbreitung von Identitäten angeben. S3 Access Grants bietet Benutzern Anmeldeinformationen für den Zugriff auf Amazon-S3-Daten. Wenn Sie sich bei Ihrer vom Kunden verwalteten Anwendung anmelden, gibt S3 Access Grants Ihre Benutzeridentität an die vertrauenswürdige Anwendung weiter.

Voraussetzung: Stellen Sie sicher, dass Sie S3 Access Grants eingerichtet haben (z. B. eine S3-Access-Grants-Instance erstellt und einen Speicherort registriert haben), bevor Sie diese Schritte ausführen. Weitere Informationen finden Sie unter Erste Schritte mit S3 Access Grants.

Gehen Sie wie folgt vor, um S3 Access Grants für die Verbreitung von Identitäten zu Ihrer vom Kunden verwalteten Anwendung hinzuzufügen:

Erstellen einer Gewährung für einen Benutzer oder eine Gruppe

In diesem Schritt verwenden Sie IAM Identity Center für die Bereitstellung Ihrer Benutzer. Sie können SCIM für die automatisierte oder manuelle Bereitstellung von Benutzern und Gruppen verwenden. SCIM synchronisiert Ihre IAM-Identity-Center-Identitäten mit den Identitäten Ihres Identitätsanbieters (IdP). Dies beinhaltet jegliche Bereitstellung, Aktualisierung und Deprovisionierung von Benutzern zwischen Ihrem IdP und IAM Identity Center.

Gehen Sie wie folgt vor, um Benutzer von Ihrem Identitätsanbieter mit IAM Identity Center zu synchronisieren:

Beispiele für die Einrichtung des Identitätsanbieters mit IAM Identity Center für Ihren speziellen Anwendungsfall finden Sie in den Tutorials zur Identitätsquelle von IAM Identity Center.

Erstellen Ihrer Storage-Browser-für-S3-Komponente

Nachdem Sie Ihre IAM-Identity-Center-Instance eingerichtet und Erteilungen in S3 Access Grants erstellt haben, öffnen Sie Ihre React-Anwendung. Verwenden Sie in der React-Anwendung createManagedAuthAdapter, um die Autorisierungsregeln einzurichten. Sie müssen einen Anbieter für Anmeldeinformationen angeben, um die Anmeldeinformationen zurückzugeben, die Sie vom IAM Identity Center erlangt haben. Anschließend können Sie createStorageBrowser aufrufen, um die Komponente Storage Browser für S3 zu initialisieren:

import {
    createManagedAuthAdapter,
    createStorageBrowser,
} from '@aws-amplify/ui-react-storage/browser';
import '@aws-amplify/ui-react-storage/styles.css';

export const { StorageBrowser } = createStorageBrowser({
   config: createManagedAuthAdapter({
    credentialsProvider: async (options?: { forceRefresh?: boolean }) => {
      // return your credentials object
      return {
        credentials: {
          accessKeyId: 'my-access-key-id',
          secretAccessKey: 'my-secret-access-key',
          sessionToken: 'my-session-token',
          expiration: new Date(),
        },
      }
    },
    // AWS `region` and `accountId` of the S3 Access Grants Instance.
    region: '',
    accountId: '',
    // call `onAuthStateChange` when end user auth state changes 
    // to clear sensitive data from the `StorageBrowser` state
    registerAuthListener: (onAuthStateChange) => {},
  })
});

Erstellen Sie dann einen Mechanismus, um die JSON-Webtoken (JWTs) aus Ihrer Webanwendung gegen die IAM-Anmeldeinformationen von IAM Identity Center auszutauschen. Weitere Informationen darüber, wie das JWT ausgetauscht wird, finden Sie in den folgenden Ressourcen:

Richten Sie anschließend einen API-Endpunkt ein, um Anfragen zum Abrufen von Anmeldeinformationen zu bearbeiten. Gehen Sie folgendermaßen vor, um den Austausch von JSON Web Token (JWT) zu validieren:

Gehen Sie wie folgt vor, um das JSON-Webtoken des Identitätsanbieters gegen AWS IAM-Anmeldeinformationen auszutauschen: