Exemple 1 : propriétaire d’un compartiment accordant à ses utilisateurs des autorisations sur un compartiment

1. Assurez-vous que vous disposez d'un Compte AWS et qu'il possède un utilisateur doté de privilèges d'administrateur.

   1. Inscrivez-vous pour un Compte AWS, si nécessaire. Nous appelons ce compte : Compte A.

      1. Accédez à https://aws.amazon.com/s3 et choisissez Créer un AWS compte.

      2. Suivez les instructions à l’écran.

         AWS vous informera par e-mail lorsque votre compte sera actif et que vous pourrez l'utiliser.

   2. Dans le compte A, créez un utilisateur administrateur, AccountAadmin. En utilisant les informations d’identification du Compte A, connectez-vous à la console IAM et procédez comme suit :

      1. Créez l’utilisateur AccountAadmin et notez ses informations d’identification de sécurité.

         Pour obtenir des instructions, consultez Création d’un utilisateur IAM dans votre Compte AWS dans le Guide de l’utilisateur IAM.

      2. Accordez des privilèges d'administrateur à AccountAadminen joignant une politique utilisateur donnant un accès complet.

         Pour obtenir des instructions, consultez Gestion des politiques IAM dans le Guide de l’utilisateur IAM.

      3. Notez l'URL de connexion de l'utilisateur IAM pour. AccountAadmin Vous devez utiliser cette URL pour vous connecter sur la AWS Management Console. Pour plus d'informations sur l'emplacement de l'URL de connexion, voir Se connecter en AWS Management Console tant qu'utilisateur IAM dans le guide de l'utilisateur IAM. Notez l’URL pour chacun des comptes.

2. Configurez le AWS CLI ou le AWS Tools for Windows PowerShell. Assurez-vous d’enregistrer les autorisations de l’utilisateur administrateur comme suit :

   • Si vous utilisez le AWS CLI, créez un profil dans le fichier de configuration. AccountAadmin

   • Si vous utilisez le AWS Tools for Windows PowerShell, assurez-vous de stocker les informations d'identification de la session sous le nomAccountAadmin.

   Pour obtenir des instructions, veuillez consulter Configuration des outils pour les procédures détaillées.

1. Création des ressources d’un compartiment et d’un utilisateur IAM

   1. Dans la console Amazon S3, créez un compartiment. Notez l'endroit Région AWS dans lequel vous avez créé le bucket. Pour obtenir des instructions, veuillez consulter Création d'un bucket à usage général.

   2. Dans la console IAM, procédez comme suit :

      1. Créez un utilisateur nommé Dave.

         Pour step-by-step obtenir des instructions, consultez la section Création d'utilisateurs IAM (console) dans le guide de l'utilisateur IAM.

      2. Notez les informations d’identification de UserDave.

      3. Notez l’Amazon Resource Name (ARN) de l’utilisateur Dave. Dans la console IAM, sélectionnez l’utilisateur. L’onglet Récapitulatif fournit l’ARN utilisateur.

2. Octroyez les autorisations.

   Étant donné que le propriétaire du compartiment et le compte parent auquel appartient l'utilisateur sont identiques, ils Compte AWS peuvent accorder des autorisations à l'utilisateur en utilisant une politique de compartiment, une politique utilisateur ou les deux. Dans cet exemple, vous faites les deux. Si l’objet est également détenu par le même compte, le propriétaire du compartiment peut accorder des autorisations d’objet dans la politique de compartiment (ou une politique IAM).

   1. Dans la console Amazon S3, associez la politique de compartiment suivante àawsexamplebucket1.

      La stratégie possède deux énoncés.

      • Le premier énoncé accorde à Dave les autorisations d’opération sur le compartiment s3:GetBucketLocation et s3:ListBucket.

      • Le second énoncé accorde l’autorisation s3:GetObject. Etant donné que le Compte A détient l’objet, l’administrateur du compte peut accorder l’autorisation s3:GetObject.

      Dans l’énoncé Principal, Dave est identifié par son ARN utilisateur. Pour en savoir plus sur les éléments de la stratégie, consultez Politiques, stratégies et autorisations dans Amazon S3.

      {
         "Version": "2012-10-17",
         "Statement": [
            {
               "Sid": "statement1",
               "Effect": "Allow",
               "Principal": {
                  "AWS": "arn:aws:iam::AccountA-ID:user/Dave"
               },
               "Action": [
                  "s3:GetBucketLocation",
                  "s3:ListBucket"
               ],
               "Resource": [
                  "arn:aws:s3:::awsexamplebucket1"
               ]
            },
            {
               "Sid": "statement2",
               "Effect": "Allow",
               "Principal": {
                  "AWS": "arn:aws:iam::AccountA-ID:user/Dave"
               },
               "Action": [
                   "s3:GetObject"
               ],
               "Resource": [
                  "arn:aws:s3:::awsexamplebucket1/*"
               ]
            }
         ]
      }

   2. Créez une stratégie intégrée pour l’utilisateur Dave à l’aide de la stratégie suivante. La stratégie accorde à Dave l’autorisation s3:PutObject. Vous devez mettre à jour la stratégie en fournissant le nom du compartiment.

      {
         "Version": "2012-10-17",
         "Statement": [
            {
               "Sid": "PermissionForObjectOperations",
               "Effect": "Allow",
               "Action": [
                  "s3:PutObject"
               ],
               "Resource": [
                  "arn:aws:s3:::awsexamplebucket1/*"
               ]
            }
         ]
      }

      Pour obtenir des instructions, reportez-vous IAMpolicies à la section Gestion du guide de l'utilisateur IAM. Notez que vous devez vous connecter sur la console grâce aux autorisations du Compte A.

Testez les autorisations à l'aide du AWS CLI

1. Mettez à jour le fichier de AWS CLI configuration en ajoutant le UserDaveAccountA profil suivant. Pour de plus amples informations, veuillez consulter Configuration des outils pour les procédures détaillées.

   [profile UserDaveAccountA]
   aws_access_key_id = access-key
   aws_secret_access_key = secret-access-key
   region = us-east-1

2. Vérifiez que Dave peut exécuter les opérations telles qu’elles sont accordées dans la stratégie d’utilisateur. Téléchargez un exemple d'objet à l'aide de la AWS CLI put-object commande suivante.

   Le paramètre --body de la commande identifie le fichier source à charger. Par exemple, si le fichier est à la racine du disque C: sur une machine Windows, vous spécifiez c:\HappyFace.jpg. Le paramètre --key fournit le nom de clé de l’objet.

   aws s3api put-object --bucket awsexamplebucket1 --key HappyFace.jpg --body HappyFace.jpg --profile UserDaveAccountA

   Exécutez la AWS CLI commande suivante pour obtenir l'objet.

   aws s3api get-object --bucket awsexamplebucket1 --key HappyFace.jpg OutputFile.jpg --profile UserDaveAccountA

Testez les autorisations à l'aide du AWS Tools for Windows PowerShell

1. Stockez les informations d’identification de Dave sous le nom AccountADave. Vous utilisez ensuite ces informations d’identification pour faire une demande PUT et GET sur un objet.

   set-awscredentials -AccessKey AccessKeyID -SecretKey SecretAccessKey -storeas AccountADave

2. Téléchargez un exemple d'objet à l'aide de la AWS Tools for Windows PowerShell Write-S3Object commande en utilisant les informations d'identification enregistrées par l'utilisateur Dave.

   Write-S3Object -bucketname awsexamplebucket1 -key HappyFace.jpg -file HappyFace.jpg -StoredCredentials AccountADave

   Téléchargez l’objet précédemment chargé.

   Read-S3Object -bucketname awsexamplebucket1 -key HappyFace.jpg -file Output.jpg -StoredCredentials AccountADave