Kontoübergreifender Bucket-Zugriff - Forschungs- und Ingenieurstudio

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Kontoübergreifender Bucket-Zugriff

RES ist in der Lage, Buckets von anderen AWS Konten aus zu mounten, sofern diese Buckets über die richtigen Berechtigungen verfügen. Im folgenden Szenario möchte eine RES-Umgebung in Konto A einen S3-Bucket in Konto B bereitstellen.

Schritt 1: Erstellen Sie eine IAM-Rolle in dem Konto, in dem RES bereitgestellt wird (dies wird als Konto A bezeichnet):

  1. Melden Sie sich bei der AWS Management Console für das RES-Konto an, das Zugriff auf den S3-Bucket benötigt (Konto A).

  2. Öffnen Sie die IAM-Konsole:

    1. Navigieren Sie zum IAM-Dashboard.

    2. Wählen Sie im Navigationsbereich Richtlinien.

  3. Erstellen Sie eine Richtlinie:

    1. Wählen Sie Richtlinie erstellen aus.

    2. Wählen Sie die Registerkarte JSON.

    3. Fügen Sie die folgende JSON-Richtlinie ein (<BUCKET-NAME>ersetzen Sie sie durch den Namen des S3-Buckets in Konto B):

      JSON
      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:ListBucket",
                "s3:DeleteObject",
                "s3:AbortMultipartUpload"
            ],
            "Resource": [
                "arn:aws:s3:::<BUCKET-NAME>",
                "arn:aws:s3:::<BUCKET-NAME>/*"
            ]
        }
    ]
}

    4. Wählen Sie Weiter aus.

  4. Überprüfen und erstellen Sie die Richtlinie:

    1. Geben Sie einen Namen für die Richtlinie ein (z. B. AccessPolicy „S3“).

    2. Fügen Sie eine optionale Beschreibung hinzu, um den Zweck der Richtlinie zu erläutern.

    3. Überprüfen Sie die Richtlinie und wählen Sie Richtlinie erstellen aus.

  5. Öffnen Sie die IAM-Konsole:

    1. Navigieren Sie zum IAM-Dashboard.

    2. Wählen Sie im Navigationsbereich Rollen.

  6. Eine Rolle erstellen:

    1. Wählen Sie Rolle erstellen aus.

    2. Wählen Sie Benutzerdefinierte Vertrauensrichtlinie als Typ der vertrauenswürdigen Entität.

    3. Fügen Sie die folgende JSON-Richtlinie ein (<ACCOUNT_ID>ersetzen Sie sie durch die tatsächliche Konto-ID von Konto A, <ENVIRONMENT_NAME> durch den Umgebungsnamen der RES-Bereitstellung und <REGION> durch die AWS Region, in der RES bereitgestellt wird):

      JSON
      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::<ACCOUNT_ID>:role/<ENVIRONMENT_NAME>-custom-credential-broker-lambda-role-<REGION>"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

    4. Wählen Sie Weiter aus.

  7. Berechtigungsrichtlinien anhängen:

    1. Suchen Sie nach der Richtlinie, die Sie zuvor erstellt haben, und wählen Sie sie aus.

    2. Wählen Sie Weiter aus.

  8. Markieren, überprüfen und erstellen Sie die Rolle:

    1. Geben Sie einen Rollennamen ein (z. B. AccessRole „S3“).

    2. Wählen Sie unter Schritt 3 die Option Tag hinzufügen aus und geben Sie dann den folgenden Schlüssel und Wert ein:

      • Schlüssel: res:Resource

      • Wert: s3-bucket-iam-role

    3. Überprüfen Sie die Rolle und wählen Sie Rolle erstellen aus.

  9. Verwenden Sie die IAM-Rolle in RES:

    1. Kopieren Sie den von Ihnen erstellten IAM-Rollen-ARN.

    2. Melden Sie sich bei der RES-Konsole an.

    3. Wählen Sie im linken Navigationsbereich S3 Bucket aus.

    4. Wählen Sie Bucket hinzufügen und füllen Sie das Formular mit dem kontoübergreifenden S3-Bucket-ARN aus.

    5. Wählen Sie das Drop-down-Menü Erweiterte Einstellungen — optional aus.

    6. Geben Sie den Rollen-ARN in das Feld IAM-Rollen-ARN ein.

    7. Wählen Sie Bucket hinzufügen.

Schritt 2: Ändern Sie die Bucket-Richtlinie in Konto B

  1. Melden Sie sich bei der AWS Management Console für Konto B an.

  2. Öffnen Sie die S3-Konsole:

    1. Navigieren Sie zum S3-Dashboard.

    2. Wählen Sie den Bucket aus, für den Sie Zugriff gewähren möchten.

  3. Bearbeiten Sie die Bucket-Richtlinie:

    1. Wählen Sie den Tab „Berechtigungen“ und dann „Bucket-Richtlinie“.

    2. Fügen Sie die folgende Richtlinie hinzu, um der IAM-Rolle von Konto A aus Zugriff auf den Bucket zu gewähren (<AccountA_ID>ersetzen Sie ihn durch die tatsächliche Konto-ID von Konto A und <BUCKET-NAME> durch den Namen des S3-Buckets):

      JSON
      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:role/S3AccessRole"
            },
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:ListBucket",
                "s3:DeleteObject",
                "s3:AbortMultipartUpload"
            ],
            "Resource": [
                "arn:aws:s3:::<BUCKET-NAME>",
                "arn:aws:s3:::<BUCKET-NAME>/*"
            ]
        }
    ]
}

    3. Wählen Sie Speichern.