Esempio 4 - Proprietario di un bucket che concede un'autorizzazione multi-account agli oggetti di cui non è proprietario

Assicurati di avere tre Account AWS e che ogni account abbia un utente amministratore, come mostrato nella tabella della sezione precedente.

1. Registrare un Account AWS, se necessario. Si fa riferimento a questi account come Account A, Account B e Account C.

2. Utilizzando le credenziali dell'Account A, accedere alla console IAM ed effettuare quanto segue per creare un utente amministratore:

   • Crea l'utente AccountAadmin e prendi nota delle sue credenziali di sicurezza. Per ulteriori informazioni sull'aggiunta di utenti, consulta Creazione di un utente IAM nell'Account AWS nella Guida per l'utente di IAM.

   • Concedere i privilegi di amministratore ad AccountAadmin allegando una policy utente che dia accesso completo. Per istruzioni, consulta Gestione delle policy IAM nella Guida all'utente IAM.

   • Nella Dashboard della Console IAM, annota l'URL di accesso dell'utente IAM. Gli utenti di questo account devono utilizzare questo URL per accedere alla Console di gestione AWS. Per ulteriori informazioni, consulta Accesso a Console di gestione AWS come utente IAM nella Guida all'utente IAM.

3. Ripetere la fase precedente per creare utenti amministratore nell'Account B e nell'Account C.

Per l'account C, annota l'ID utente canonico.

Quando si crea un ruolo IAM nell'Account A, la policy di attendibilità concede all'Account C l'autorizzazione per assumere il ruolo mediante la specifica dell'ID account. È possibile trovare informazioni sull'account come indicato di seguito:

1. Utilizza l'ID o l'alias dell'account Account AWS, il nome utente IAM e la password per accedere alla console Amazon S3.

2. Scegliere il nome di un bucket Amazon S3 per visualizzare i relativi dettagli.

3. Selezionare la scheda Permissions (Autorizzazioni) e selezionare Access Control List (Lista di controllo accessi).

4. Nella sezione Accesso per il tuo Account AWS, nella colonna Account è presente un identificatore lungo, come c1daexampleaaf850ea79cf0430f33d72579fd1611c97f7ded193374c0b163b6. Questo è il tuo ID utente canonico.

Quando si crea una policy di bucket, è necessario disporre delle informazioni seguenti. Osserva questi valori:

Imposta AWS Command Line Interface (CLI) o AWS Tools for Windows PowerShell. Assicurati di salvare le credenziali dell'utente amministratore come segue:

Per istruzioni, consulta Impostazione degli strumenti per le visite guidate.

Creare un bucket. In questo esercizio si presume che il nome del bucket sia amzn-s3-demo-bucket1.

Per istruzioni, consulta Creazione di un bucket per uso generico.

Allega la seguente policy del bucket. La policy concede all'amministratore dell'account B l'autorizzazione condizionata a caricare gli oggetti.

Aggiorna la policy fornendo valori personalizzati per amzn-s3-demo-bucket1, AccountB-ID, e CanonicalUserId-of-AWSaccountA-BucketOwner.

Prima di creare il ruolo, preparare la policy gestita che definisce le autorizzazioni richieste dal ruolo. La policy verrà collegata al ruolo in una fase successiva.

1. Nel riquadro di navigazione a sinistra, seleziona Policy e poi Crea policy.

2. Accanto a Create Your Own Policy (Crea la tua policy) scegli Select (Seleziona).

3. Immettere access-accountA-bucket nel campo Policy Name (Nome policy).

4. Copiare la seguente policy di accesso e incollarla nel campo Policy Document (Documento policy). La policy di accesso concede l'autorizzazione al ruolo s3:GetObject, quindi, quando l'utente Account C assume il ruolo, può eseguire solo l'operazione s3:GetObject.

   JSON

   {
     "Version":"2012-10-17",		 	 	 
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "s3:GetObject",
         "Resource": "arn:aws:s3:::amzn-s3-demo-bucket1/*"
       }
     ]
   }
   

5. Scegli Crea policy.

   La nuova policy viene inserita nell'elenco delle policy gestite.

Nel riquadro di navigazione a sinistra, scegli Ruoli e quindi Crea nuovo ruolo.

In Seleziona tipo di ruolo, seleziona Ruolo per l'accesso multi-account, quindi scegli il pulsante Seleziona accanto a Fornisci l'accesso tra Account AWS di proprietà.

Immettere l'ID account dell'Account C.

Per questa guida, non è necessario richiedere agli utenti l'autenticazione a più fattori (MFA) per assumere il ruolo, quindi lasciare l'opzione deselezionata.

Scegli Fase successiva per impostare le autorizzazioni associate al ruolo.

Seleziona la casella di controllo accanto alla policy access-accountA-bucket creata, quindi scegli Fase successiva.

Viene visualizzata la pagina Review (Revisione) che consente di confermare le impostazioni per il ruolo prima che venga creato. Questa pagina contiene una voce molto importante, ossia il collegamento che è possibile inviare agli utenti che hanno necessità di utilizzare questo ruolo. Gli utenti che utilizzano il link accedono direttamente alla pagina Cambia ruolo con i campi ID account e Nome ruolo già compilati. Questo link è visibile anche in seguito nella pagina di riepilogo dei ruoli per qualsiasi multi-account.

Immetti examplerole per il nome del ruolo, quindi scegli Fase successiva.

Dopo aver esaminato il ruolo, scegli Crea ruolo.

Il ruolo examplerole viene visualizzato nell'elenco dei ruoli.

Scegli il nome del ruolo examplerole.

Selezionare la scheda Trust Relationships (Relazioni di trust).

Scegli Mostra documento della policy e verifica che la policy di attendibilità mostrata corrisponda alla policy seguente.

Le seguente policy di attendibilità stabilisce l'attendibilità con l'Account C, consentendogli di eseguire l'operazione sts:AssumeRole. Per ulteriori informazioni, consulta AssumeRole nella documentazione di riferimento dell'API AWS Security Token Service.

Osserva il nome della risorsa Amazon (ARN) del ruolo examplerole creato.

Nelle fasi successive verrà illustrato come allegare una policy utente per consentire all'utente IAM di assumere questo ruolo e come identificare il ruolo mediante il valore ARN.

Utilizzando l'URL di accesso dell'utente IAM per l'account C, accedi prima a Console di gestione AWS come utente AccountCadmin.

Nella console IAM, crea un utente, Dave.

Per istruzioni dettagliate, consulta Creazione di utenti IAM (Console di gestione AWS) nella Guida all'utente IAM.

Annota le credenziali di Dave. Dave dovrà utilizzare queste credenziali per assumere il ruolo examplerole.

Crea una policy in linea per l'utente IAM Dave per delegare a Dave l'autorizzazione sts:AssumeRole sul ruolo examplerole nell'account A.

1. Nel riquadro di navigazione sinistro, scegliere Users (Utenti).

2. Scegli il nome utente Dave.

3. Nella pagina dei dettagli dell'utente, selezionare la scheda Permissions (Autorizzazioni), quindi espandere la sezione Inline Policies (Policy inline).

4. Scegliere click here (fai clic qui) oppure Create User Policy (Crea policy di utente).

5. Scegliere Custom Policy (Policy personalizzata) quindi Select (Seleziona).

6. Immettere un nome per la policy nel campo Policy Name (Nome policy).

7. Copiare la seguente policy nel campo Policy Document (Documento policy).

   È necessario aggiornare la policy fornendo AccountA-ID.

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "sts:AssumeRole"
               ],
               "Resource": "arn:aws:iam::111122223333:role/examplerole"
           }
       ]
   }
   

8. Scegli Apply Policy (Applica policy).

Salva le credenziali di Dave nel file di configurazione di AWS CLI aggiungendo un altro profilo, AccountCDave.

[profile AccountCDave]
aws_access_key_id = UserDaveAccessKeyID
aws_secret_access_key = UserDaveSecretAccessKey
region = us-west-2

Al prompt dei comandi, esegui il seguente comando AWS CLI assume-role utilizzando il profilo AccountCDave.

È necessario aggiornare il valore ARN nel comando fornendo l'AccountA-ID dove è definito examplerole.

aws sts assume-role --role-arn arn:aws:iam::AccountA-ID:role/examplerole --profile AccountCDave --role-session-name test

In risposta, AWS Security Token Service (AWS STS) restituisce le credenziali di sicurezza temporanee (ID della chiave di accesso, chiave di accesso segreta e un token di sessione).

Salva le credenziali di sicurezza temporanee nel file di configurazione della AWS CLI sotto il profilo TempCred.

[profile TempCred]
aws_access_key_id = temp-access-key-ID
aws_secret_access_key = temp-secret-access-key
aws_session_token = session-token
region = us-west-2

Al prompt dei comandi, esegui il comando della AWS CLI per accedere all'oggetto utilizzando le credenziali temporanee. Ad esempio, il comando specifica l'API head-object per recuperare i metadata dell'oggetto per l'oggetto HappyFace.jpg.

aws s3api get-object --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg SaveFileAs.jpg --profile TempCred

Dal momento che la policy di accesso collegata a examplerole consente l'esecuzione delle operazioni, Amazon S3 elabora la richiesta. È possibile provare ad eseguire un'altra operazione su qualsiasi altro oggetto nel bucket.

Se si tenta un'altra azione, ad esempio get-object-acl, l'autorizzazione sarà negata perché il ruolo non è autorizzato a eseguire tale azione.

aws s3api get-object-acl --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg --profile TempCred

È stato utilizzato l'utente Dave per assumere il ruolo e accedere all'oggetto mediante le credenziali temporanee. L'accesso agli oggetti in può essere effettuato anche da un'applicazione nell'Account amzn-s3-demo-bucket1. L'applicazione può ottenere credenziali di sicurezza temporanee e l'Account C può delegare all'applicazione le autorizzazioni per assumere examplerole.

Una volta terminato il test, è possibile eseguire le seguenti operazioni di pulizia:

1. Accedi alla Console di gestione AWS utilizzando le credenziali dell'Account A e procedere come di seguito:

   • Nella console di Amazon S3 rimuovere la policy del bucket collegata a amzn-s3-demo-bucket1. Nelle Proprietà del bucket, elimina la policy nella sezione Autorizzazioni.

   • Se il bucket è stato creato per questo esercizio, nella console di Amazon S3 eliminare gli oggetti e quindi il bucket.

   • Nella Console IAM, rimuovi l'indirizzo examplerole creato nell'account A. Per istruzioni dettagliate, consulta Eliminazione di un utente IAM nella Guida all'utente IAM.

   • Nella Console IAM, rimuovi l'utente AccountAadmin.

Accedi alla Console IAM utilizzando le credenziali dell'account B. Elimina l'utente AccountBadmin.

Accedi alla Console IAM utilizzando le credenziali dell'Account C. Elimina AccountCadmin e l'utente Dave.