Amazon S3 : restreindre la gestion à un compartiment S3 spécifique - AWS Identity and Access Management

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Amazon S3 : restreindre la gestion à un compartiment S3 spécifique

Cet exemple montre comment vous pouvez créer une politique basée sur l'identité qui limite la gestion d'un compartiment Amazon S3 à ce compartiment spécifique. Cette politique accorde l'autorisation d'effectuer toutes les actions Amazon S3, mais refuse l'accès à tous les Service AWS , à l'exception d'Amazon S3. Consultez l'exemple suivant. Selon cette politique, vous ne pouvez accéder qu'aux actions Amazon S3 que vous pouvez effectuer sur un compartiment S3 ou une ressource objet S3. Cette politique accorde les autorisations nécessaires pour effectuer cette action par programmation à partir de l' AWS API ou. AWS CLI Pour utiliser cette politique, remplacez celle de italicized placeholder text l'exemple de politique par vos propres informations. Ensuite, suivez les instructions fournies dans create a policy (créer une politique) ou edit a policy (modifier une politique).

Si cette politique est utilisée en combinaison avec d'autres politiques (telles que les politiques EC2 FullAccess AWS gérées par Amazon ou FullAccess Amazon S3) qui autorisent les actions interdites par cette politique, l'accès est refusé. En effet, une instruction de refus explicite est prioritaire dans l'autorisation des instructions. Pour de plus amples informations, veuillez consulter Comment la logique du code d’application AWS évalue les demandes d’autorisation ou de refus d’accès.

Avertissement

NotAction et NotResource sont des éléments de politique avancée qui doivent être utilisés avec précaution. Cette politique refuse l'accès à chaque service AWS , à l'exception d'Amazon S3. Si vous attachez cette politique à un utilisateur, toutes les autres politiques qui accordent des autorisations aux autres services sont ignorées et l'accès est refusé.

JSON
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:::bucket-name",
                "arn:aws:s3:::bucket-name/*"
            ]
        },
        {
            "Effect": "Deny",
            "NotAction": "s3:*",
            "NotResource": [
                "arn:aws:s3:::bucket-name",
                "arn:aws:s3:::bucket-name/*"
            ]
        }
    ]
}