Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Menyiapkan Browser Penyimpanan untuk S3

Untuk menghubungkan pengguna akhir dengan lokasi Amazon S3, Anda harus terlebih dahulu menyiapkan metode otentikasi dan otorisasi. Ada tiga metode untuk mengatur metode otentikasi dan otorisasi dengan Storage Browser:

Metode 1: Mengelola akses data untuk pelanggan Anda dan mitra pihak ketiga

Dengan metode ini, Anda dapat menggunakan AWS Amplify Auth untuk mengelola kontrol akses dan keamanan untuk file. Metode ini sangat ideal ketika Anda ingin menghubungkan pelanggan Anda atau mitra pihak ketiga dengan data di S3. Dengan opsi ini, pelanggan Anda dapat mengautentikasi menggunakan penyedia identitas sosial atau perusahaan.

Anda memberikan kredensyal IAM kepada pengguna akhir dan mitra pihak ketiga menggunakan AWS Amplify Auth dengan bucket S3 yang dikonfigurasi untuk menggunakan Amplify Storage. AWS Amplify Auth dibangun di Amazon Cognito, identitas pelanggan yang dikelola sepenuhnya dan layanan manajemen akses tempat Anda dapat mengautentikasi dan mengotorisasi pengguna dari direktori pengguna atau direktori perusahaan bawaan, atau dari penyedia identitas konsumen. Model otorisasi Amplify mendefinisikan awalan mana yang dapat diakses oleh pengguna yang diautentikasi saat ini. Untuk informasi selengkapnya tentang cara mengatur otorisasi AWS Amplify, lihat Menyiapkan penyimpanan.

Untuk menginisialisasi komponen dengan metode otentikasi dan penyimpanan Amplify, tambahkan cuplikan kode berikut ke aplikasi web Anda:

import {
  createAmplifyAuthAdapter,
  createStorageBrowser,
} from '@aws-amplify/ui-react-storage/browser';
import "@aws-amplify/ui-react-storage/styles.css";

import config from './amplify_outputs.json';

Amplify.configure(config);

export const { StorageBrowser } = createStorageBrowser({
  config: createAmplifyAuthAdapter(),
});

Metode 2: Mengelola akses data untuk prinsipal IAM Anda untuk akun Anda AWS

Jika Anda ingin mengelola akses untuk prinsipal IAM atau Akun AWS langsung, Anda dapat membuat peran IAM yang memiliki izin untuk memanggil GetDataAccessOperasi API S3. Untuk mengaturnya, Anda harus membuat instance S3 Access Grants untuk memetakan izin untuk bucket dan awalan tujuan umum S3 ke identitas IAM yang ditentukan. Komponen Storage Browser (yang harus dipanggil di sisi klien setelah mendapatkan kredensi IAM) kemudian akan memanggil ListCallerAccessGrantsOperasi S3 API untuk mengambil hibah yang tersedia untuk pemohon identitas dan mengisi lokasi dalam komponen. Setelah Anda mendapatkan s3:GetDataAccess izin, kredensyal tersebut kemudian digunakan oleh komponen Storage Browser untuk meminta akses data ke S3.

import {
  createManagedAuthAdapter,
  createStorageBrowser,
} from '@aws-amplify/ui-react-storage/browser';
import "@aws-amplify/ui-react-storage/styles.css";

export const { StorageBrowser } = createStorageBrowser({
  config: createManagedAuthAdapter({
    credentialsProvider: async (options?: { forceRefresh?: boolean }) => {
      // return your credentials object
      return {
        credentials: {
          accessKeyId: 'my-access-key-id',
          secretAccessKey: 'my-secret-access-key',
          sessionToken: 'my-session-token',
          expiration: new Date()
        },
      }
    },
    // AWS `region` and `accountId`
    region: '',
    accountId: '',
    // call `onAuthStateChange` when end user auth state changes 
    // to clear sensitive data from the `StorageBrowser` state
    registerAuthListener: (onAuthStateChange) => {},
  })
});

Metode 3: Mengelola akses data dalam skala

Jika Anda ingin mengaitkan instans Hibah Akses S3 ke Pusat Identitas IAM Anda untuk solusi yang lebih skalabel (seperti menyediakan akses data ke seluruh perusahaan Anda), Anda dapat meminta data dari Amazon S3 atas nama pengguna yang diautentikasi saat ini. Misalnya, Anda dapat memberikan grup pengguna di direktori perusahaan Anda akses ke data Anda di S3. Pendekatan ini memungkinkan Anda mengelola izin Hibah Akses S3 secara terpusat untuk pengguna dan grup Anda, termasuk yang dihosting di penyedia eksternal seperti Microsoft Entra, Okta, dan lainnya.

Saat menggunakan metode ini, integrasi dengan Pusat Identitas IAM memungkinkan Anda untuk menggunakan direktori pengguna yang ada. Manfaat lain dari propagasi identitas tepercaya IAM Identity Center adalah bahwa setiap peristiwa AWS CloudTrail data untuk Amazon S3 berisi referensi langsung ke identitas pengguna akhir yang mengakses data S3.

Jika Anda memiliki aplikasi yang mendukung OAuth 2.0 dan pengguna Anda memerlukan akses dari aplikasi ini ke AWS layanan, kami sarankan Anda menggunakan propagasi identitas tepercaya. Dengan propagasi identitas tepercaya, pengguna dapat masuk ke aplikasi, dan aplikasi itu dapat meneruskan identitas pengguna dalam permintaan apa pun yang mengakses data dalam AWS layanan. Aplikasi ini berinteraksi dengan IAM Identity Center atas nama pengguna yang diautentikasi. Untuk informasi selengkapnya, lihat Menggunakan propagasi identitas tepercaya dengan aplikasi yang dikelola pelanggan.

Pengaturan

Untuk mengatur otentikasi Browser Penyimpanan dalam propagasi identitas tepercaya AWS Management Console menggunakan S3 Access Grants dan IAM Identity Center, aplikasi Anda harus meminta data dari Amazon S3 atas nama pengguna yang diautentikasi saat ini. Dengan pendekatan ini, Anda dapat memberi pengguna atau grup pengguna dari direktori perusahaan Anda akses langsung ke bucket, awalan, atau objek S3 Anda. Ini berarti bahwa aplikasi Anda tidak perlu memetakan pengguna ke prinsipal IAM.

Alur kerja berikut menguraikan langkah-langkah untuk menyiapkan Browser Penyimpanan untuk S3, menggunakan IAM Identity Center dan S3 Access Grants:

Aktifkan Pusat Identitas IAM untuk Anda AWS Organizations

Untuk mengaktifkan Pusat Identitas IAM untuk Anda AWS Organizations, lakukan langkah-langkah berikut:

AWS Organizations secara otomatis mengirimkan email verifikasi ke alamat yang terkait dengan akun manajemen Anda. Mungkin ada waktu tunda sebelum Anda menerima email verifikasi. Pastikan untuk memverifikasi alamat email Anda dalam waktu 24 jam, sebelum email verifikasi Anda kedaluwarsa.

Konfigurasikan federasi Pusat AWS Identity and Access Management Identitas

Untuk menggunakan Browser Penyimpanan untuk S3 dengan pengguna direktori perusahaan, Anda harus mengonfigurasi Pusat Identitas IAM untuk menggunakan penyedia identitas eksternal (iDP). Anda dapat menggunakan penyedia identitas pilihan Anda. Namun, ketahuilah bahwa setiap penyedia identitas menggunakan pengaturan konfigurasi yang berbeda. Untuk tutorial tentang menggunakan penyedia identitas eksternal yang berbeda, lihat tutorial sumber Pusat Identitas IAM.

Tambahkan penerbit token tepercaya di konsol Pusat AWS Identity and Access Management Identitas

Penerbit token tepercaya mewakili penyedia identitas eksternal Anda di Pusat AWS Identity and Access Management Identitas, dan mengenali token untuk pengguna yang diautentikasi aplikasi Anda. Pemilik akun instans Pusat Identitas IAM di Anda AWS Organizations harus melakukan langkah-langkah ini. Langkah-langkah ini dapat dilakukan baik di konsol IAM Identity Center, atau secara terprogram.

Untuk menambahkan penerbit token tepercaya di konsol Pusat AWS Identity and Access Management Identitas, lakukan langkah-langkah berikut:

Buat peran IAM untuk bootstrap aplikasi dan identity bearer

Untuk memastikan bahwa bootstrap aplikasi dan identity bearer pengguna dapat bekerja dengan baik satu sama lain, pastikan untuk membuat dua peran IAM. Satu peran IAM diperlukan untuk bootstrap aplikasi dan peran IAM lainnya harus digunakan untuk pembawa identitas, atau pengguna akhir yang mengakses aplikasi web yang meminta akses melalui S3 Access Grants. bootstrapAplikasi menerima token yang dikeluarkan oleh penyedia identitas dan memanggil CreateTokenWithIAM API, menukar token ini dengan yang dikeluarkan oleh Pusat Identitas.

Buat peran IAM, sepertibootstrap-role, dengan izin seperti berikut ini. Contoh berikut kebijakan IAM memberikan izin bootstrap-role untuk melakukan pertukaran token:

{
    "Version": "2012-10-17",
    "Statement": [{
        "Action": [
            "sso-oauth:CreateTokenWithIAM",
        ],
        "Resource": "arn:${Partition}:sso::${AccountId}:application/${InstanceId}/${ApplicationId}",
        "Effect": "Allow"
    },
    {
        "Action": [
            "sts:AssumeRole",
            "sts:SetContext"
        ],
        "Resource": "arn:aws:iam::${AccountId}:role/identity-bearer-role",
        "Effect": "Allow"
    }]
}

Kemudian, buat peran IAM kedua (sepertiidentity-bearer-role), yang digunakan broker identitas untuk menghasilkan kredensi IAM. Kredensi IAM yang dikembalikan dari broker identitas ke aplikasi web digunakan oleh Storage Browser untuk komponen S3 untuk memungkinkan akses ke data S3:

{
    "Action": [
        "s3:GetDataAccess",
        "s3:ListCallerAccessGrants",
    ],
    "Resource": "arn:${Partition}:s3:${Region}:${Account}:access-grants/default",
    "Effect": "Allow"
} 

Peran IAM (identity-bearer-role) ini harus menggunakan kebijakan kepercayaan dengan pernyataan berikut:

{
   "Effect": "Allow",
   "Principal": {
      "AWS": "arn:${Partition}:iam::${Account}:role/${RoleNameWithPath}"
   },
   "Action": [
       "sts:AssumeRole",
       "sts:SetContext"
   ]
}

Buat dan konfigurasikan aplikasi Anda di IAM Identity Center

Untuk membuat dan mengkonfigurasi aplikasi yang dikelola pelanggan di AWS IAM Identity Center, lakukan langkah-langkah berikut:

Setelah menyiapkan aplikasi, pengguna dapat mengakses aplikasi Anda dari dalam portal AWS akses mereka berdasarkan set izin yang telah Anda buat dan akses pengguna yang telah Anda tetapkan.

Tambahkan S3 Access Grants sebagai aplikasi tepercaya untuk propagasi identitas

Setelah menyiapkan aplikasi yang dikelola pelanggan, Anda harus menentukan S3 Access Grants untuk propagasi identitas. S3 Access Grants memberikan kredensi bagi pengguna untuk mengakses data Amazon S3. Saat Anda masuk ke aplikasi yang dikelola pelanggan, S3 Access Grants akan meneruskan identitas pengguna Anda ke aplikasi tepercaya.

Prasyarat: Pastikan Anda telah menyiapkan S3 Access Grants (seperti membuat instance S3 Access Grants dan mendaftarkan lokasi) sebelum mengikuti langkah-langkah ini. Untuk informasi selengkapnya, lihat Memulai Hibah Akses S3.

Untuk menambahkan S3 Access Grants untuk propagasi identitas ke aplikasi yang dikelola pelanggan Anda, lakukan langkah-langkah berikut:

Membuat hibah untuk pengguna atau grup

Pada langkah ini, Anda menggunakan IAM Identity Center untuk menyediakan pengguna Anda. Anda dapat menggunakan SCIM untuk penyediaan otomatis atau manual pengguna dan grup. SCIM menjaga identitas IAM Identity Center Anda tetap sinkron dengan identitas dari penyedia identitas Anda (iDP). Ini termasuk penyediaan, pembaruan, dan penonaktifan pengguna antara IDP dan Pusat Identitas IAM Anda.

Untuk menyinkronkan pengguna dari penyedia identitas Anda dengan IAM Identity Center, lakukan langkah-langkah berikut:

Untuk contoh cara mengatur penyedia identitas dengan IAM Identity Center untuk kasus penggunaan spesifik Anda, lihat tutorial sumber Identitas Pusat Identitas IAM.

Buat Browser Penyimpanan Anda untuk komponen S3

Setelah menyiapkan instans IAM Identity Center dan membuat hibah di S3 Access Grants, buka aplikasi React Anda. Dalam aplikasi React, gunakan createManagedAuthAdapter untuk mengatur aturan otorisasi. Anda harus menyediakan penyedia kredensi untuk mengembalikan kredensil yang Anda peroleh dari IAM Identity Center. Anda kemudian dapat memanggil createStorageBrowser untuk menginisialisasi Browser Penyimpanan untuk komponen S3:

import {
    createManagedAuthAdapter,
    createStorageBrowser,
} from '@aws-amplify/ui-react-storage/browser';
import '@aws-amplify/ui-react-storage/styles.css';

export const { StorageBrowser } = createStorageBrowser({
   config: createManagedAuthAdapter({
    credentialsProvider: async (options?: { forceRefresh?: boolean }) => {
      // return your credentials object
      return {
        credentials: {
          accessKeyId: 'my-access-key-id',
          secretAccessKey: 'my-secret-access-key',
          sessionToken: 'my-session-token',
          expiration: new Date(),
        },
      }
    },
    // AWS `region` and `accountId` of the S3 Access Grants Instance.
    region: '',
    accountId: '',
    // call `onAuthStateChange` when end user auth state changes 
    // to clear sensitive data from the `StorageBrowser` state
    registerAuthListener: (onAuthStateChange) => {},
  })
});

Kemudian, buat mekanisme untuk menukar token web JSON (JWTs) dari aplikasi web Anda dengan kredensyal IAM dari IAM Identity Center. Untuk informasi selengkapnya tentang cara menukar JWT, lihat sumber daya berikut:

Kemudian, siapkan titik akhir API untuk menangani permintaan untuk mengambil kredensil. Untuk memvalidasi pertukaran token web JSON (JWT), lakukan langkah-langkah berikut:

Untuk menukar token web JSON penyedia identitas dengan kredensil AWS IAM, lakukan langkah-langkah berikut: