Esempio 3: il proprietario del bucket concede autorizzazioni per gli oggetti che non sono di sua proprietà

1. Assicurati di disporre di due Account AWS, ognuno con un amministratore, come illustrato nella tabella della sezione precedente.

   1. Registrare un Account AWS, se necessario.

   2. Utilizzando le credenziali dell'account A, accedi alla Console IAM e procedere come segue per creare un utente amministratore:

      • Crea l'utente AccountAadmin e annota le credenziali di sicurezza dell'utente. Per ulteriori informazioni sull'aggiunta di utenti, consulta Creazione di un utente IAM nell'Account AWS nella Guida per l'utente di IAM.

      • Concedi le autorizzazioni di amministratore ad AccountAadmin allegando una policy utente che dia accesso completo. Per istruzioni, consulta Gestione delle policy IAM nella Guida all'utente IAM.

      • Nella Console IAM Dashboard, annota l'URL di accesso dell'utente IAM. Gli utenti di questo account devono utilizzare questo URL per accedere alla Console di gestione AWS. Per ulteriori informazioni, consulta In che modo gli utenti effettuano l'accesso al tuo account nella Guida per l'utente IAM.

   3. Ripeti il passaggio precedente utilizzando le credenziali dell'account B e creare l'utente amministratore AccountBadmin.

2. Configura la AWS CLI o Tools for Windows PowerShell. Assicurati di salvare le credenziali di amministratore nel modo seguente:

   • Se utilizzi la AWS CLI, crea due profili, AccountAadmin e AccountBadmin, nel file di configurazione.

   • Se utilizzi Tools for Windows PowerShell, assicurati di archiviare le credenziali per la sessione come AccountAadmin e AccountBadmin.

   Per istruzioni, consulta Impostazione degli strumenti per le visite guidate.

1. Nella console di Amazon S3 creare un bucket. Questo esercizio presuppone che il bucket sia stato creato nella zona est della Regione AWS Stati Uniti orientali (Virginia settentrionale) e che il nome sia amzn-s3-demo-bucket1.

   Per istruzioni, consulta Creazione di un bucket per uso generico.

2. Nella console IAM, crea un utente Dave.

   Per istruzioni dettagliate, consulta Creazione di utenti IAM (console) nella Guida all'utente IAM.

3. Osserva le credenziali dell'utente Dave.

4. Nella console di Amazon S3 collegare la seguente policy del bucket a amzn-s3-demo-bucket1. Per istruzioni, consulta Aggiunta di una policy di bucket utilizzando la console di Amazon S3. Seguire le fasi per l'aggiunta di una policy di bucket. Per informazioni su come trovare gli ID account, consulta Ricerca del tuo ID Account AWS.

   La policy concede all'Account B le autorizzazioni s3:PutObject e s3:ListBucket. La policy concede inoltre all'utente Dave l'autorizzazione s3:GetObject.

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
           {
               "Sid": "Statement1",
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::111122223333:root"
               },
               "Action": [
                   "s3:PutObject",
                   "s3:ListBucket"
               ],
               "Resource": [
                   "arn:aws:s3:::amzn-s3-demo-bucket1/*",
                   "arn:aws:s3:::amzn-s3-demo-bucket1"
               ]
           },
           {
               "Sid": "Statement3",
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::111122223333:user/Dave"
               },
               "Action": [
                   "s3:GetObject"
               ],
               "Resource": [
                   "arn:aws:s3:::amzn-s3-demo-bucket1/*"
               ]
           }
       ]
   }
   

Utilizzo di AWS CLI

1. Con il comando put-object AWS CLI, carica un oggetto. Il parametro --body nel comando identifica il file di origine da caricare. Ad esempio, se il file si trova sull'unità C: di una macchina Windows, specifica c:\HappyFace.jpg. Il parametro --key fornisce il nome della chiave dell'oggetto.

   aws s3api put-object --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg --body HappyFace.jpg --profile AccountBadmin

2. Aggiungere un'autorizzazione nell'ACL dell'oggetto per concedere controllo completo dell'oggetto al proprietario del bucket. Per informazioni su come trovare un ID utente canonico, consulta la sezione Trovare l'ID utente canonico per Account AWS nella AWS Guida di riferimento per la gestione degli account.

   aws s3api put-object-acl --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg --grant-full-control id="AccountA-CanonicalUserID" --profile AccountBadmin

Utilizzo di Tools for Windows PowerShell

1. Con il comando Write-S3Object, carica un oggetto.

   Write-S3Object -BucketName amzn-s3-demo-bucket1 -key HappyFace.jpg -file HappyFace.jpg -StoredCredentials AccountBadmin

2. Aggiungere un'autorizzazione nell'ACL dell'oggetto per concedere controllo completo dell'oggetto al proprietario del bucket.

   Set-S3ACL -BucketName amzn-s3-demo-bucket1 -Key HappyFace.jpg -CannedACLName "bucket-owner-full-control" -StoredCreden

Utilizzo di AWS CLI

1. Aggiungi le credenziali dell'utente Dave al file di configurazione della AWS CLI e crea un nuovo profilo, UserDaveAccountA. Per ulteriori informazioni, consulta Impostazione degli strumenti per le visite guidate.

   [profile UserDaveAccountA]
   aws_access_key_id = access-key
   aws_secret_access_key = secret-access-key
   region = us-east-1

2. Esegui il comando della CLI di get-object per scaricare HappyFace.jpg e salvarlo in locale. Le credenziali dell'utente Dave vengono fornite aggiungendo il parametro --profile.

   aws s3api get-object --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg Outputfile.jpg --profile UserDaveAccountA

Utilizzo di Tools for Windows PowerShell

1. Archivia le credenziali AWS dell'utente Dave, come UserDaveAccountA, in una archiviazione persistente.

   Set-AWSCredentials -AccessKey UserDave-AccessKey -SecretKey UserDave-SecretAccessKey -storeas UserDaveAccountA

2. Esegui il comando Read-S3Object per scaricare l'oggetto HappyFace.jpg e salvarlo in locale. Le credenziali dell'utente Dave vengono fornite aggiungendo il parametro -StoredCredentials.

   Read-S3Object -BucketName amzn-s3-demo-bucket1 -Key HappyFace.jpg -file HappyFace.jpg  -StoredCredentials UserDaveAccountA

1. Una volta terminato il test, è possibile eseguire le seguenti operazioni di pulizia:

   1. Accedi alla Console di gestione AWS utilizzando le credenziali dell'Account A e procedere come di seguito:

      • Nella console di Amazon S3 rimuovere la policy del bucket collegata a amzn-s3-demo-bucket1. Nelle Proprietà del bucket, elimina la policy nella sezione Autorizzazioni.

      • Se il bucket è stato creato per questo esercizio, nella console di Amazon S3 eliminare gli oggetti e quindi il bucket.

      • Nella Console IAM, rimuovi l'utente AccountAadmin. Per istruzioni dettagliate, consulta Eliminazione di un utente IAM nella Guida all'utente IAM.

2. Accedere alla Console di gestione AWS tramite le credenziali dell'Account B. Nella Console IAM, elimina l'utente AccountBadmin.