Exemple 2 : propriétaire d’un compartiment accordant à ses utilisateurs des autorisations entre comptes sur un compartiment

1. Assurez-vous de posséder deux Comptes AWS et que chaque compte possède un seul utilisateur administrateur, comme indiqué dans le tableau de la section précédente.

   1. Connectez-vous à un Compte AWS, le cas échéant.

   2. Utilisez les informations d’identification du compte A pour vous connecter à la console IAM afin de créer l’utilisateur administrateur :

      1. Créez l’utilisateur AccountAadmin et notez les informations d’identification. Pour obtenir des instructions, consultez Création d’un utilisateur IAM dans votre Compte AWS dans le Guide de l’utilisateur IAM.

      2. Accordez des privilèges d’administrateur à AccountAadmin en y associant une politique utilisateur donnant l’accès total. Pour obtenir des instructions, consultez Utilisation de stratégies dans le Guide de l’utilisateur IAM.

   3. Lorsque vous êtes dans la console IAM, notez l’URL de connexion de l’utilisateur IAM sur le tableau de bord. Tous les utilisateurs du compte doivent utiliser cette URL pour se connecter à la AWS Management Console.

      Pour plus d’informations, consultez Comment les utilisateurs se connectent à votre compte dans le Guide de l’utilisateur IAM.

   4. Répétez l’étape précédente en utilisant les informations d’identification du compte B et créez l’utilisateur administrateur AccountBadmin.

2. Configurez l’AWS Command Line Interface (AWS CLI) ou AWS Tools for Windows PowerShell. Assurez-vous d’enregistrer les autorisations de l’utilisateur administrateur comme suit :

   • Si vous utilisez AWS CLI, créez deux profils, AccountAadmin et AccountBadmin, dans le fichier de configuration.

   • Si vous utilisez AWS Tools for Windows PowerShell, veillez à stocker les informations d’identification pour la session sous AccountAadmin et AccountBadmin.

   Pour obtenir des instructions, veuillez consulter Configuration des outils pour les procédures détaillées.

3. Enregistrez les autorisations de l’utilisateur administrateur, également appelées « profils ». Vous pouvez utiliser le nom de profil au lieu de spécifier des autorisations pour chaque commande saisie. Pour plus d’informations, consultez Configuration des outils pour les procédures détaillées.

   1. Ajoutez des profils dans le fichier des informations d’identification de l’AWS CLI pour chacun des utilisateurs administrateurs, AccountAadmin et AccountBadmin, dans les deux comptes.

      [AccountAadmin]
      aws_access_key_id = access-key-ID
      aws_secret_access_key = secret-access-key
      region = us-east-1
      
      [AccountBadmin]
      aws_access_key_id = access-key-ID
      aws_secret_access_key = secret-access-key
      region = us-east-1

   2. Si vous utilisez AWS Tools for Windows PowerShell, exécutez la commande suivante.

      set-awscredentials –AccessKey AcctA-access-key-ID –SecretKey AcctA-secret-access-key –storeas AccountAadmin
      set-awscredentials –AccessKey AcctB-access-key-ID –SecretKey AcctB-secret-access-key –storeas AccountBadmin

1. Dans la console Amazon S3, créez un compartiment. Cet exercice suppose que le compartiment est créé dans la Région AWS USA Est (Virginie du Nord) et que son nom est amzn-s3-demo-bucket.

   Pour obtenir des instructions, veuillez consulter Création d’un compartiment à usage général.

2. Chargez un exemple d’objet dans le compartiment.

   Pour plus d’informations, consultez Étape 2 : charger un objet dans votre compartiment.

1. Attachez la stratégie de compartiment suivante à amzn-s3-demo-bucket. Cette stratégie accorde au compte B une autorisation pour les actions s3:GetLifecycleConfiguration et s3:ListBucket.

   Pour obtenir des instructions, veuillez consulter Ajout d’une stratégie de compartiment à l’aide de la console Amazon S3.

   JSON

   {
      "Version":"2012-10-17",		 	 	 
      "Statement": [
         {
            "Sid": "Example permissions",
            "Effect": "Allow",
            "Principal": {
               "AWS": "arn:aws:iam::111122223333:root"
            },
            "Action": [
               "s3:GetLifecycleConfiguration",
               "s3:ListBucket"
            ],
            "Resource": [
               "arn:aws:s3:::amzn-s3-demo-bucket"
            ]
         }
      ]
   }
   

2. Vérifiez que le compte B (et donc son utilisateur administrateur) peut effectuer les opérations.

   • Vérification à l’aide de l’AWS CLI

     aws s3 ls s3://amzn-s3-demo-bucket --profile AccountBadmin
     aws s3api get-bucket-lifecycle-configuration --bucket amzn-s3-demo-bucket --profile AccountBadmin

   • Vérification à l’aide de l’AWS Tools for Windows PowerShell

     get-s3object -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBadmin 
     get-s3bucketlifecycleconfiguration -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBadmin

Test des autorisations à l’aide de l’AWS CLI

1. Ajoutez le profil UserDave au fichier de configuration AWS CLI. Pour plus d’informations sur le fichier de configuration, consultez Configuration des outils pour les procédures détaillées.

   [profile UserDave]
   aws_access_key_id = access-key
   aws_secret_access_key = secret-access-key
   region = us-east-1

2. À l’invite de commande, saisissez la commande AWS CLI suivante pour vérifier si Dave peut désormais obtenir une liste d’objets depuis le compartiment amzn-s3-demo-bucket appartenant au compte A. Notez que la commande spécifie le profil UserDave.

   aws s3 ls s3://amzn-s3-demo-bucket --profile UserDave

   Dave n’a aucune autre autorisation. Par conséquent, s’il essaie d’effectuer une autre opération (par exemple, la configuration get-bucket-lifecycle suivante), Amazon S3 indique que l’autorisation est refusée.

   aws s3api get-bucket-lifecycle-configuration --bucket amzn-s3-demo-bucket --profile UserDave

Test des autorisations à l’aide des AWS Tools for Windows PowerShell

1. Stockez les informations d’identification de Dave sous le nom AccountBDave.

   set-awscredentials -AccessKey AccessKeyID -SecretKey SecretAccessKey -storeas AccountBDave

2. Essayez la commande permettant de répertorier les compartiments.

   get-s3object -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBDave

   Dave n’a aucune autre autorisation. Par conséquent, s’il essaie d’effectuer une autre opération (par exemple, la commande get-s3bucketlifecycleconfiguration suivante), Amazon S3 indique que l’autorisation est refusée.

   get-s3bucketlifecycleconfiguration -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBDave

1. Une fois le test terminé, vous pouvez procéder comme suit pour le nettoyage :

   1. Connectez-vous à la AWS Management Console (AWS Management Console) en utilisant les informations d’identification du compte A, et procédez comme suit :

      • Dans la console Amazon S3, supprimez la stratégie de compartiment attachée à amzn-s3-demo-bucket. Dans la page Properties du compartiment, supprimez la stratégie dans la section Permissions.

      • Si le compartiment a été créé pour cet exercice, supprimez les objets, puis le compartiment, dans la console Amazon S3.

      • Dans la console IAM, supprimez l’utilisateur AccountAadmin.

2. Connectez-vous à la console IAM en utilisant les informations d’identification du compte B. Supprimez l’utilisateur AccountBadmin. Pour obtenir des instructions détaillées, consultez Suppression d’un utilisateur IAM dans le Guide de l’utilisateur IAM.