Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Impostazione di Storage Browser per S3

Per collegare gli utenti finali alle posizioni Amazon S3, è necessario prima impostare un metodo di autenticazione e autorizzazione. Esistono tre metodi per impostare un metodo di autenticazione e autorizzazione con Storage Browser:

Metodo 1: Gestione dell'accesso ai dati per i clienti e partner terzi

Con questo metodo, è possibile utilizzare AWS Amplify Auth per gestire il controllo degli accessi e la sicurezza dei file. Questo metodo è ideale quando si desidera collegare i clienti o i partner di terze parti con i dati presenti in S3. Con questa opzione, i clienti possono autenticarsi utilizzando gestori dell'identità sociali o aziendali.

Fornisci le credenziali IAM ai tuoi utenti finali e partner terzi utilizzando AWS Amplify Auth con un bucket S3 configurato per utilizzare Amplify Storage. AWS Amplify L'autenticazione si basa su Amazon Cognito, un servizio di gestione delle identità e degli accessi dei clienti completamente gestito in cui è possibile autenticare e autorizzare gli utenti da una directory utente integrata o da una directory aziendale o da provider di identità di consumo. Il modello di autorizzazione di Amplify definisce a quali prefissi può accedere l'utente attualmente autenticato. Per ulteriori informazioni su come impostare l'autorizzazione per AWS Amplify, consulta Impostazione dell'archiviazione.

Per inizializzare il componente con i metodi di autenticazione e archiviazione di Amplify, aggiungere il seguente frammento di codice all'applicazione web:

import {
  createAmplifyAuthAdapter,
  createStorageBrowser,
} from '@aws-amplify/ui-react-storage/browser';
import "@aws-amplify/ui-react-storage/styles.css";

import config from './amplify_outputs.json';

Amplify.configure(config);

export const { StorageBrowser } = createStorageBrowser({
  config: createAmplifyAuthAdapter(),
});

Metodo 2: gestione dell'accesso ai dati dei principali IAM per il tuo account AWS

Se desideri gestire l'accesso per i tuoi responsabili IAM o Account AWS direttamente, puoi creare un ruolo IAM con le autorizzazioni per richiamare l'operazione dell'GetDataAccessAPI S3. Per configurarlo, devi creare un'istanza S3 Access Grants per mappare le autorizzazioni per i bucket e i prefissi S3 generici alle identità IAM specificate. Il componente Storage Browser (che deve essere chiamato sul lato client dopo aver ottenuto le credenziali IAM) richiamerà quindi l'operazione dell'API ListCallerAccessGrantsS3 per recuperare le concessioni disponibili per il richiedente di identità e popolare le posizioni nel componente. Dopo aver ottenuto l'autorizzazione s3:GetDataAccess, le credenziali vengono utilizzate dal componente Storage Browser per richiedere l'accesso ai dati a S3.

import {
  createManagedAuthAdapter,
  createStorageBrowser,
} from '@aws-amplify/ui-react-storage/browser';
import "@aws-amplify/ui-react-storage/styles.css";

export const { StorageBrowser } = createStorageBrowser({
  config: createManagedAuthAdapter({
    credentialsProvider: async (options?: { forceRefresh?: boolean }) => {
      // return your credentials object
      return {
        credentials: {
          accessKeyId: 'my-access-key-id',
          secretAccessKey: 'my-secret-access-key',
          sessionToken: 'my-session-token',
          expiration: new Date()
        },
      }
    },
    // AWS `region` and `accountId`
    region: '',
    accountId: '',
    // call `onAuthStateChange` when end user auth state changes 
    // to clear sensitive data from the `StorageBrowser` state
    registerAuthListener: (onAuthStateChange) => {},
  })
});

Metodo 3: Gestione dell'accesso ai dati su larga scala

Se si desidera associare un'istanza di S3 Access Grants al proprio Centro identità IAM per una soluzione più scalabile (ad esempio per fornire l'accesso ai dati a tutta l'azienda), è possibile richiedere i dati da Amazon S3 per conto dell'utente corrente autenticato. Ad esempio, è possibile concedere ai gruppi di utenti della directory aziendale l'accesso ai dati in S3. Questo approccio consente di gestire centralmente le autorizzazioni di S3 Access Grants per i vostri utenti e gruppi, compresi quelli ospitati da fornitori esterni come Microsoft Entra, Okta e altri.

Quando si utilizza questo metodo, l'integrazione con il Centro identità IAM consente di utilizzare le directory utenti esistenti. Un altro vantaggio della propagazione dell'identità attendibile del Centro identità IAM è che ogni evento di dati AWS CloudTrail per Amazon S3 contiene un riferimento diretto all'identità dell'utente finale che ha avuto accesso ai dati S3.

Se disponi di un'applicazione che supporta la OAuth versione 2.0 e gli utenti devono accedere da queste applicazioni ai AWS servizi, ti consigliamo di utilizzare una propagazione affidabile delle identità. Con la propagazione affidabile delle identità, un utente può accedere a un'applicazione e tale applicazione può trasmettere l'identità dell'utente in tutte le richieste che accedono ai dati nei AWS servizi. Questa applicazione interagisce con il Centro identità IAM per conto degli utenti autenticati. Per ulteriori informazioni, consulta Utilizzo della propagazione dell'identità attendibile con le applicazioni gestite dai clienti.

La propagazione affidabile delle identità è una AWS IAM Identity Center funzionalità che gli amministratori di connected Servizi AWS possono utilizzare per concedere e controllare l'accesso ai dati del servizio. L'accesso a questi dati si basa su attributi utente come le associazioni di gruppo. La configurazione di una propagazione affidabile delle identità richiede la collaborazione tra gli amministratori di connected Servizi AWS e gli amministratori di IAM Identity Center. Per ulteriori informazioni, consulta Prerequisiti e considerazioni.

Configurazione

Per configurare l'autenticazione Storage Browser nella propagazione dell'identità affidabile AWS Management Console utilizzando S3 Access Grants e IAM Identity Center, le tue applicazioni devono richiedere dati ad Amazon S3 per conto dell'utente attualmente autenticato. Con questo approccio, è possibile dare agli utenti o ai gruppi di utenti della directory aziendale l'accesso diretto ai bucket, ai prefissi o agli oggetti S3. Ciò significa che l'applicazione non dovrà mappare alcun utente a un principale IAM.

Il seguente flusso di lavoro illustra le fasi di impostazione di Storage Browser per S3, utilizzando il Centro identità IAM e S3 Access Grants:

Abilitazione del Centro identità IAM per AWS Organizations

Per abilitare IAM Identity Center for your AWS Organizations, procedi nel seguente modo:

AWS Organizations invia automaticamente un'email di verifica all'indirizzo associato al tuo account di gestione. Potrebbe verificarsi un ritardo prima di ricevere l'e-mail di verifica. Assicurati di verificare l'indirizzo e-mail entro 24 ore, prima che l'e-mail di verifica scada.

Configurare AWS Identity and Access Management la federazione di Identity Center

Per utilizzare Storage Browser per S3 con gli utenti della directory aziendale, è necessario configurare il Centro identità IAM per utilizzare un gestore dell'identità digitale esterno. È possibile utilizzare il gestore dell'identità digitale preferito di propria scelta. Tuttavia, occorre tenere presente che ogni gestore dell'identità digitale utilizza impostazioni di configurazione diverse. Per le esercitazioni sull'uso di diversi gestori dell'identità digitale esterni, consulta i tutorial sulle origini per il Centro identità IAM.

Aggiungi un emittente di token attendibile nella console del Centro identità AWS Identity and Access Management

L'emittente di token attendibile rappresenta il gestore dell'identità digitale esterno nel Centro identità AWS Identity and Access Management , consentendo il riconoscimento dei token di identità per gli utenti autenticati dell'applicazione. Il proprietario dell'account dell'istanza IAM Identity Center dell'utente AWS Organizations deve eseguire questi passaggi. Questi passaggi possono essere eseguiti nella console Centro identità IAM o in modo programmatico.

Per aggiungere un emittente di token affidabile nella console di AWS Identity and Access Management Identity Center, procedi nel seguente modo:

Creazione di un ruolo IAM per l'applicazione bootstrap e identity bearer

Per garantire che l'applicazione bootstrap e gli utenti identity bearer possano lavorare correttamente tra loro, assicurati di creare due ruoli IAM. Un ruolo IAM è necessario per l'applicazione bootstrap e l'altro ruolo IAM deve essere utilizzato per il portatore di identità, ovvero gli utenti finali che accedono all'applicazione web e che richiedono l'accesso tramite S3 Access Grants. L'applicazione bootstrap riceve il token rilasciato dal gestore dell'identità digitale e invoca l'API CreateTokenWithIAM, scambiando questo token con quello rilasciato dal Centro identità.

Crea un ruolo IAM, ad esempio bootstrap-role, con autorizzazioni come le seguenti. Il seguente esempio di policy IAM fornisce le autorizzazioni a bootstrap-role per eseguire lo scambio di token:

{
    "Version": "2012-10-17",
    "Statement": [{
        "Action": [
            "sso-oauth:CreateTokenWithIAM",
        ],
        "Resource": "arn:${Partition}:sso::${AccountId}:application/${InstanceId}/${ApplicationId}",
        "Effect": "Allow"
    },
    {
        "Action": [
            "sts:AssumeRole",
            "sts:SetContext"
        ],
        "Resource": "arn:aws:iam::${AccountId}:role/identity-bearer-role",
        "Effect": "Allow"
    }]
}

Quindi, crea un secondo ruolo IAM (come identity-bearer-role), che il gestore di identità utilizza per generare le credenziali IAM. Le credenziali IAM restituite dal gestore di identità all'applicazione web vengono utilizzate dal componente Storage Browser per S3 per consentire l'accesso ai dati S3:

{
    "Action": [
        "s3:GetDataAccess",
        "s3:ListCallerAccessGrants",
    ],
    "Resource": "arn:${Partition}:s3:${Region}:${Account}:access-grants/default",
    "Effect": "Allow"
} 

Questo ruolo IAM (identity-bearer-role) deve utilizzare una policy attendibile con la seguente istruzione:

{
   "Effect": "Allow",
   "Principal": {
      "AWS": "arn:${Partition}:iam::${Account}:role/${RoleNameWithPath}"
   },
   "Action": [
       "sts:AssumeRole",
       "sts:SetContext"
   ]
}

Creazione e configurazione dell'applicazione nel Centro identità IAM

Per creare e configurare un'applicazione gestita dal cliente in AWS IAM Identity Center, procedi nel seguente modo:

Dopo aver configurato le applicazioni, gli utenti possono accedere alle applicazioni dall'interno del loro portale di AWS accesso in base ai set di autorizzazioni che hai creato e all'accesso utente che hai assegnato.

Aggiunta di S3 Access Grants come applicazione attendibile per la propagazione dell'identità

Dopo aver configurato l'applicazione gestita dal cliente, è necessario specificare S3 Access Grants per la propagazione delle identità. S3 Access Grant fornisce agli utenti le credenziali per accedere ai dati di Amazon S3. Quando si accede all'applicazione gestita dal cliente, S3 Access Grants trasmette l'identità dell'utente all'applicazione attendibile.

Prerequisito: assicurati di aver configurato S3 Access Grants (ad esempio creando un'istanza S3 Access Grants e registrando una posizione) prima di seguire questi passaggi. Per ulteriori informazioni, consulta Introduzione a S3 Access Grants.

Per aggiungere S3 Access Grants per la propagazione dell'identità all'applicazione gestita dal cliente, esegui le seguenti operazioni:

Creazione di una concessione a un utente o un gruppo

In questa fase, si utilizza il Centro identità IAM per effettuare il provisioning degli utenti. È possibile utilizzare SCIM per il provisioning automatico o manuale di utenti e gruppi. SCIM mantiene le identità del Centro identità IAM sincronizzate con quelle del gestore dell'identità digitale. Ciò include il provisioning, gli aggiornamenti e il deprovisioning degli utenti tra il gestore dell'identità digitale e il Centro identità IAM.

Per sincronizzare gli utenti del gestore dell'identità digitale con il Centro identità IAM, esegui le seguenti operazioni:

Per esempi su come impostare il gestore dell'identità digitale con il Centro identità IAM per il caso d'uso specifico, consulta i tutorial sulle origini per il Centro identità IAM.

Creazione del componente Storage Browser per S3

Dopo aver configurato l'istanza Centro identità IAM e creato concessioni in S3 Access Grants, apri l'applicazione React. Nell'applicazione React, utilizza createManagedAuthAdapter per impostare le regole di autorizzazione. È necessario specificare un fornitore di credenziali per restituire le credenziali acquisite dal Centro identità IAM. È quindi possibile chiamare createStorageBrowser per inizializzare il componente Storage Browser per S3:

import {
    createManagedAuthAdapter,
    createStorageBrowser,
} from '@aws-amplify/ui-react-storage/browser';
import '@aws-amplify/ui-react-storage/styles.css';

export const { StorageBrowser } = createStorageBrowser({
   config: createManagedAuthAdapter({
    credentialsProvider: async (options?: { forceRefresh?: boolean }) => {
      // return your credentials object
      return {
        credentials: {
          accessKeyId: 'my-access-key-id',
          secretAccessKey: 'my-secret-access-key',
          sessionToken: 'my-session-token',
          expiration: new Date(),
        },
      }
    },
    // AWS `region` and `accountId` of the S3 Access Grants Instance.
    region: '',
    accountId: '',
    // call `onAuthStateChange` when end user auth state changes 
    // to clear sensitive data from the `StorageBrowser` state
    registerAuthListener: (onAuthStateChange) => {},
  })
});

Quindi, crea un meccanismo per lo scambio dei token web JSON (JWTs) dalla tua applicazione web con le credenziali IAM di IAM Identity Center. Per ulteriori informazioni su come scambiare JWT, consulta le seguenti risorse:

Quindi, imposta un endpoint API per gestire le richieste di recupero delle credenziali. Per convalidare lo scambio di JSON Web Token (JWT), esegui le seguenti operazioni:

Per scambiare il token web JSON del provider di identità con le credenziali AWS IAM, procedi nel seguente modo: