Exemple 2 : propriétaire d’un compartiment accordant à ses utilisateurs des autorisations entre comptes sur un compartiment

1. Assurez-vous que vous en avez deux Comptes AWS et que chaque compte possède un utilisateur administrateur, comme indiqué dans le tableau de la section précédente.

   1. Inscrivez-vous pour un Compte AWS, si nécessaire.

   2. Utilisez les informations d’identification du compte A pour vous connecter à la console IAM afin de créer l’utilisateur administrateur :

      1. Créez l’utilisateur AccountAadmin et notez les informations d’identification. Pour obtenir des instructions, consultez Création d’un utilisateur IAM dans votre Compte AWS dans le Guide de l’utilisateur IAM.

      2. Accordez des privilèges d'administrateur à AccountAadminen joignant une politique utilisateur donnant un accès complet. Pour obtenir des instructions, consultez Utilisation de stratégies dans le Guide de l’utilisateur IAM.

   3. Lorsque vous êtes dans la console IAM, notez l’URL de connexion de l’utilisateur IAM sur le tableau de bord. Tous les utilisateurs du compte doivent utiliser cette URL pour se connecter à la AWS Management Console.

      Pour plus d’informations, consultez Comment les utilisateurs se connectent à votre compte dans le Guide de l’utilisateur IAM.

   4. Répétez l’étape précédente en utilisant les informations d’identification du compte B et créez l’utilisateur administrateur AccountBadmin.

2. Configurez le AWS Command Line Interface (AWS CLI) ou le AWS Tools for Windows PowerShell. Assurez-vous d’enregistrer les autorisations de l’utilisateur administrateur comme suit :

   • Si vous utilisez le AWS CLI, créez deux profils, AccountAadmin etAccountBadmin, dans le fichier de configuration.

   • Si vous utilisez le AWS Tools for Windows PowerShell, assurez-vous de stocker les informations d'identification de la session sous forme AccountAadmin etAccountBadmin.

   Pour obtenir des instructions, veuillez consulter Configuration des outils pour les procédures détaillées.

3. Enregistrez les autorisations de l’utilisateur administrateur, également appelées « profils ». Vous pouvez utiliser le nom de profil au lieu de spécifier des autorisations pour chaque commande saisie. Pour de plus amples informations, veuillez consulter Configuration des outils pour les procédures détaillées.

   1. Ajoutez des profils dans le fichier AWS CLI d'informations d'identification pour chacun des utilisateurs administrateurs AccountAadmin et AccountBadmin dans les deux comptes.

      [AccountAadmin]
      aws_access_key_id = access-key-ID
      aws_secret_access_key = secret-access-key
      region = us-east-1
      
      [AccountBadmin]
      aws_access_key_id = access-key-ID
      aws_secret_access_key = secret-access-key
      region = us-east-1

   2. Si vous utilisez AWS Tools for Windows PowerShell, exécutez la commande suivante.

      set-awscredentials –AccessKey AcctA-access-key-ID –SecretKey AcctA-secret-access-key –storeas AccountAadmin
      set-awscredentials –AccessKey AcctB-access-key-ID –SecretKey AcctB-secret-access-key –storeas AccountBadmin

1. Dans la console Amazon S3, créez un compartiment. Cet exercice suppose que le bucket a été créé dans l'est des États-Unis (Virginie du Nord) Région AWS et qu'il porte un nomamzn-s3-demo-bucket.

   Pour obtenir des instructions, veuillez consulter Création d'un bucket à usage général.

2. Chargez un exemple d’objet dans le compartiment.

   Pour plus d’informations, consultez Étape 2 : charger un objet dans votre compartiment.

1. Attachez la politique de compartiment suivante à amzn-s3-demo-bucket. Cette stratégie accorde au compte B une autorisation pour les actions s3:GetLifecycleConfiguration et s3:ListBucket.

   Pour obtenir des instructions, veuillez consulter Ajout d’une politique de compartiment à l’aide de la console Amazon S3.

   {
      "Version": "2012-10-17",
      "Statement": [
         {
            "Sid": "Example permissions",
            "Effect": "Allow",
            "Principal": {
               "AWS": "arn:aws:iam::AccountB-ID:root"
            },
            "Action": [
               "s3:GetLifecycleConfiguration",
               "s3:ListBucket"
            ],
            "Resource": [
               "arn:aws:s3:::amzn-s3-demo-bucket"
            ]
         }
      ]
   }

2. Vérifiez que le compte B (et donc son utilisateur administrateur) peut effectuer les opérations.

   • Vérifiez à l'aide du AWS CLI

     aws s3 ls s3://amzn-s3-demo-bucket --profile AccountBadmin
     aws s3api get-bucket-lifecycle-configuration --bucket amzn-s3-demo-bucket --profile AccountBadmin

   • Vérifiez à l'aide du AWS Tools for Windows PowerShell

     get-s3object -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBadmin 
     get-s3bucketlifecycleconfiguration -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBadmin

Testez les autorisations à l'aide du AWS CLI

1. Ajoutez le UserDave profil au fichier de AWS CLI configuration. Pour plus d’informations sur le fichier de configuration, consultez Configuration des outils pour les procédures détaillées.

   [profile UserDave]
   aws_access_key_id = access-key
   aws_secret_access_key = secret-access-key
   region = us-east-1

2. À l'invite de commande, entrez la AWS CLI commande suivante pour vérifier que Dave peut désormais obtenir une liste d'objets à partir du compte amzn-s3-demo-bucket appartenant au compte A. Notez que la commande spécifie le UserDave profil.

   aws s3 ls s3://amzn-s3-demo-bucket --profile UserDave

   Dave n’a aucune autre autorisation. Par conséquent, s’il essaie d’effectuer une autre opération (par exemple, la configuration get-bucket-lifecycle suivante), Amazon S3 indique que l’autorisation est refusée.

   aws s3api get-bucket-lifecycle-configuration --bucket amzn-s3-demo-bucket --profile UserDave

Tester les autorisations en utilisant AWS Tools for Windows PowerShell

1. Stockez les informations d’identification de Dave sous le nom AccountBDave.

   set-awscredentials -AccessKey AccessKeyID -SecretKey SecretAccessKey -storeas AccountBDave

2. Essayez la commande permettant de répertorier les compartiments.

   get-s3object -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBDave

   Dave n’a aucune autre autorisation. Par conséquent, s’il essaie d’effectuer une autre opération (par exemple, la commande get-s3bucketlifecycleconfiguration suivante), Amazon S3 indique que l’autorisation est refusée.

   get-s3bucketlifecycleconfiguration -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBDave

1. Une fois le test terminé, vous pouvez procéder comme suit pour le nettoyage :

   1. Connectez-vous au AWS Management Console (AWS Management Console) à l'aide des informations d'identification du compte A, puis procédez comme suit :

      • Dans la console Amazon S3, supprimez la politique de compartiment attachée à amzn-s3-demo-bucket. Dans la page Properties du compartiment, supprimez la stratégie dans la section Permissions.

      • Si le compartiment a été créé pour cet exercice, supprimez les objets, puis le compartiment, dans la console Amazon S3.

      • Dans la console IAM, supprimez l’utilisateur AccountAadmin.

2. Connectez-vous à la console IAM en utilisant les informations d’identification du compte B. Supprimez l’utilisateur AccountBadmin. Pour step-by-step obtenir des instructions, reportez-vous à la section Suppression d'un utilisateur IAM dans le guide de l'utilisateur IAM.