Mengatur IAM dengan S3 di Outposts

AWS Identity and Access Management (IAM) adalah Layanan AWS yang membantu administrator mengontrol akses ke AWS sumber daya dengan aman. Administrator IAM mengendalikan siapa saja yang dapat diautentikasi (masuk) dan diizinkan (memiliki izin) untuk menggunakan sumber daya Amazon S3 di Outposts. IAM adalah Layanan AWS yang dapat Anda gunakan tanpa biaya tambahan. Secara default, pengguna tidak memiliki izin untuk sumber daya dan operasi S3 di Outposts. Untuk memberikan izin akses bagi sumber daya dan operasi API S3 di Outposts, Anda dapat menggunakan IAM untuk membuat pengguna, grup, atau peran dan melampirkan izin.

Untuk memberikan akses, menambahkan izin ke pengguna, grup, atau peran Anda:

Selain kebijakan berbasis identitas IAM, S3 di Outposts mendukung kebijakan bucket dan titik akses. Kebijakan bucket dan titik akses adalah kebijakan berbasis sumber daya yang dilampirkan ke sumber daya S3 di Outposts.

Kebijakan titik akses bekerja dengan kebijakan bucket yang dilampirkan pada bucket yang mendasari S3 di Outposts. Agar aplikasi atau pengguna dapat mengakses objek di bucket S3 di Outposts melalui titik akses S3 di Outposts, kebijakan titik akses dan kebijakan bucket harus mengizinkan permintaan tersebut.

Pembatasan yang Anda sertakan dalam kebijakan titik akses hanya berlaku untuk permintaan yang dibuat melalui titik akses tersebut. Misalnya, jika titik akses dilampirkan ke bucket, Anda tidak dapat menggunakan kebijakan titik akses untuk mengizinkan atau menolak permintaan yang dibuat langsung ke bucket. Namun, pembatasan yang Anda terapkan pada kebijakan bucket dapat mengizinkan atau menolak permintaan yang dibuat langsung ke bucket atau melalui titik akses.

Dalam kebijakan IAM atau kebijakan berbasis sumber daya, Anda menentukan tindakan S3 di Outposts mana yang diizinkan atau ditolak. Tindakan S3 di Outposts sesuai dengan operasi API S3 di Outposts tertentu. Tindakan S3 di Outposts menggunakan prefiks namespace s3-outposts:. Permintaan yang dibuat ke S3 on Outposts mengontrol API dalam dan permintaan Wilayah AWS yang dibuat ke titik akhir API objek di Outpost diautentikasi dengan menggunakan IAM dan diotorisasi terhadap awalan namespace. s3-outposts: Untuk bekerja dengan S3 di Outposts, konfigurasikan pengguna IAM Anda dan izinkan mereka terhadap namespace IAM s3-outposts:.

Untuk informasi lebih lanjut, lihat Tindakan, sumber daya, dan kunci syarat untuk Amazon S3 di Outposts di Referensi Otorisasi Layanan.

Untuk informasi tentang pengaturan IAM untuk S3 di Outposts, lihat topik berikut.

Pengguna utama kebijakan S3 di Outposts

Saat membuat kebijakan berbasis sumber daya untuk memberikan akses ke bucket S3 di Outposts, Anda harus menggunakan elemen Principal tersebut untuk menentukan orang atau aplikasi yang dapat membuat permintaan tindakan atau operasi pada sumber daya tersebut. Untuk kebijakan S3 di Outposts, Anda dapat menggunakan salah satu pengguna utama berikut:

Untuk informasi selengkapnya tentang elemen Principal, lihat elemen kebijakan JSON AWS : Pengguna utama dalam Panduan Pengguna IAM.

Sumber daya ARNs untuk S3 di Outposts

Amazon Resource Names (ARNs) untuk S3 di Outposts berisi ID Outpost selain Wilayah AWS tempat Outpost berada, ID, Akun AWS dan nama resource. Untuk mengakses dan melakukan tindakan pada bucket dan objek Outposts Anda, Anda harus menggunakan salah satu format ARN yang ditunjukkan pada tabel berikut.

partitionNilai dalam ARN mengacu pada sekelompok. Wilayah AWS Masing-masing Akun AWS dicakup ke satu partisi. Berikut ini adalah partisi yang didukung:

Tabel berikut menunjukkan S3 pada Outposts format ARN.

Contoh kebijakan untuk S3 di Outposts

{
   "Version":"2012-10-17",
   "Id":"ExampleBucketPolicy1",
   "Statement":[
      {
         "Sid":"statement1",
         "Effect":"Allow",
         "Principal":{
            "AWS":"123456789012"
         },
         "Action":"s3-outposts:*",
         "Resource":"arn:aws:s3-outposts:region:123456789012:outpost/op-01ac5d28a6a232904/bucket/example-outposts-bucket"
      }
   ]
}

{
    "Version": "2012-10-17",
    "Id": "ExampleBucketPolicy2",
    "Statement": [
        {
            "Sid": "statement1",
            "Effect": "Allow",
            "Principal": { "AWS" : "*" },
            "Action":"s3-outposts:*",
            "Resource":"arn:aws:s3-outposts:region:123456789012:outpost/op-01ac5d28a6a232904/bucket/example-outposts-bucket",
            "Condition" : {
                "IpAddress" : {
                    "aws:SourceIp": "192.0.2.0/24" 
                },
                "NotIpAddress" : {
                    "aws:SourceIp": "198.51.100.0/24" 
                } 
            } 
        } 
    ]
} 

Izin untuk titik akhir S3 di Outposts

S3 di Outposts memerlukan izinnya sendiri di IAM untuk mengelola tindakan titik akhir S3 di Outposts.

Tabel berikut menunjukkan S3 pada izin IAM terkait titik akhir Outposts.

Peran yang ditautkan dengan layanan untuk S3 di Outposts

S3 di Outposts menggunakan peran yang ditautkan dengan layanan IAM untuk membuat beberapa sumber daya jaringan atas nama Anda. Untuk informasi selengkapnya, lihat Menggunakan Peran Terkait Layanan untuk Amazon S3 di Outposts.