Configurazione di Amazon S3 Access Grants con IAM Identity Center

• Abilita IAM Identity Center. L'istanza dell'organizzazione è consigliata. Per ulteriori informazioni, consulta Prerequisiti e considerazioni.

Se hai già un Amazon S3 Contributi di accesso istanza con una sede registrata, segui questi passaggi:

1. Associa la tua istanza IAM Identity Center.

2. Crea una sovvenzione.

Se non hai creato un Amazon S3 Contributi di accesso tuttavia, segui questi passaggi:

1. Crea un'Access Grantsistanza S3 : puoi creare un'Access Grantsistanza S3 per. Regione AWS Quando crei l'Access Grantsistanza S3, assicurati di selezionare la casella Aggiungi istanza IAM Identity Center e di fornire l'ARN della tua istanza IAM Identity Center. Seleziona Avanti.

   L'immagine seguente mostra la pagina Crea Access Grants istanza S3 nella console Amazon S3: Access Grants

   

2. Registra una sede: dopo aver creato e creato un'Access Grantsistanza Amazon S3 Regione AWS in un account, registri una sede S3 in quell'istanza. Una Access Grants sede S3 mappa la regione S3 predefinita (S3://), un bucket o un prefisso a un ruolo IAM. S3 Access Grants assume questo ruolo di Amazon S3 per inviare credenziali temporanee al beneficiario che accede a quella particolare posizione. Devi prima registrare almeno una sede nella tua Access Grants istanza S3 prima di poter creare una concessione di accesso.

   Per l'ambito Ubicazione s3://, specifica se include tutti i tuoi bucket in quella regione. Questo è l'ambito di localizzazione consigliato per la maggior parte dei casi d'uso. Se disponi di un caso d'uso avanzato per la gestione degli accessi, puoi impostare l'ambito della posizione su un bucket s3://bucket o un prefisso specifico all'interno di un bucket. s3://bucket/prefix-with-path Per ulteriori informazioni, consulta Register a location nella Amazon Simple Storage Service User Guide.

   Nota

   Assicurati che le posizioni S3 delle AWS Glue tabelle a cui vuoi concedere l'accesso siano incluse in questo percorso.

   La procedura richiede la configurazione di un ruolo IAM per la sede. Questo ruolo dovrebbe includere le autorizzazioni per accedere all'ambito della posizione. È possibile utilizzare la procedura guidata della console S3 per creare il ruolo. Dovrai specificare l'ARN dell'Access Grantsistanza S3 nelle policy per questo ruolo IAM. Il valore predefinito dell'ARN dell'Access Grantsistanza S3 è. arn:aws:s3:Your-Region:Your-AWS-Account-ID:access-grants/default

   Il seguente esempio di policy di autorizzazione conferisce ad Amazon S3 le autorizzazioni per il ruolo IAM che hai creato. E l'esempio di politica di fiducia che segue consente al responsabile del Access Grants servizio S3 di assumere il ruolo IAM.

   1. Policy di autorizzazione

      Per utilizzare queste policy, sostituisci la italicized placeholder text policy di esempio con le tue informazioni. Per ulteriori indicazioni, consulta Creare una policy o Modificare una policy.

      JSON

      {
          "Version":"2012-10-17",
          "Statement": [
              {
                  "Sid": "ObjectLevelReadPermissions",
                  "Effect": "Allow",
                  "Action": [
                      "s3:GetObject",
                      "s3:GetObjectVersion",
                      "s3:GetObjectAcl",
                      "s3:GetObjectVersionAcl",
                      "s3:ListMultipartUploadParts"
                  ],
                  "Resource": [
                      "arn:aws:s3:::*"
                  ],
                  "Condition": {
                      "StringEquals": {
                          "aws:ResourceAccount": "111122223333"
                      },
                      "ArnEquals": {
                          "s3:AccessGrantsInstanceArn": [
                          "arn:aws:s3:::access-grants/instance-id"
                          ]
                      }
                  }
              },
              {
                  "Sid": "ObjectLevelWritePermissions",
                  "Effect": "Allow",
                  "Action": [
                      "s3:PutObject",
                      "s3:PutObjectAcl",
                      "s3:PutObjectVersionAcl",
                      "s3:DeleteObject",
                      "s3:DeleteObjectVersion",
                      "s3:AbortMultipartUpload"
                  ],
                  "Resource": [
                      "arn:aws:s3:::*"
                  ],
                  "Condition": {
                      "StringEquals": {
                      "aws:ResourceAccount": "111122223333"
                      },
                      "ArnEquals": {
                          "s3:AccessGrantsInstanceArn": [
                          "arn:aws:s3:::access-grants/instance-id"
                          ]
                      }
                  }
              },
              {
                  "Sid": "BucketLevelReadPermissions",
                  "Effect": "Allow",
                  "Action": [
                      "s3:ListBucket"
                  ],
                  "Resource": [
                      "arn:aws:s3:::*"
                  ],
                  "Condition": {
                      "StringEquals": {
                      "aws:ResourceAccount": "111122223333"
                      },
                      "ArnEquals": {
                          "s3:AccessGrantsInstanceArn": [
                          "arn:aws:s3:::access-grants/instance-id"
                          ]
                      }
                  }
              },
              {
                  "Sid": "OptionalKMSPermissionsForSSEEncryption",
                  "Effect": "Allow",
                  "Action": [
                      "kms:Decrypt",
                      "kms:GenerateDataKey"
                  ],
                  "Resource": [
                      "*"
                  ]
              }
          ]
      }
      

   2. Policy di trust

      Nella policy di attendibilità del ruolo IAM, concedi al principale del servizio S3 Access Grants (access-grants.s3.amazonaws.com) l'accesso al ruolo IAM creato. A tal fine, è possibile creare un file JSON contenente le seguenti istruzioni. Per aggiungere la policy di attendibilità all'account, consulta Creare un ruolo utilizzando policy di attendibilità personalizzati.

      JSON

      {
          "Version":"2012-10-17",
          "Statement": [
              {
                  "Sid": "Stmt1234567891011",
                  "Effect": "Allow",
                  "Action": [
                      "sts:AssumeRole",
                      "sts:SetSourceIdentity"
                  ],
                  "Resource": "*",
                  "Condition": {
                      "StringEquals": {
                          "aws:SourceAccount": "111122223333",
                          "aws:SourceArn": "Your-Custom-Access-Grants-Location-ARN"
                      }
                  }
              },
      
              {
                  "Sid": "Stmt1234567891012",
                  "Effect": "Allow",
                  "Action": "sts:SetContext",
                  "Resource": "*",
                  "Condition": {
                      "StringEquals": {
                          "aws:SourceAccount": "111122223333",
                          "aws:SourceArn": "Your-Custom-Access-Grants-Location-ARN"
                      },
                      "ForAllValues:ArnEquals": {
                          "sts:RequestContextProviders": "arn:aws:iam::aws:contextProvider/IdentityCenter"
                      }
                  }
              }
          ]
      }
      

Creazione di una concessione

1. Seleziona la posizione creata nel passaggio precedente. È possibile ridurre l'ambito della concessione aggiungendo un sottoprefisso. Il sottoprefisso può essere un bucketbucket/prefix, o un oggetto nel bucket. Per ulteriori informazioni, consulta Subprefix nella Amazon Simple Storage Service User Guide.

2. In Autorizzazioni e accesso, seleziona Lettura o Scrittura a seconda delle tue esigenze.

3. Nel tipo Granter, scegli Directory Identity dal modulo IAM Identity Center.

4. Fornisci l'ID utente o gruppo IAM Identity Center. Puoi trovare gli ID utente e di gruppo nella console di IAM Identity Center nelle sezioni Utente e Gruppo. Seleziona Avanti.

5. Nella pagina Revisione e fine, rivedi le impostazioni per S3Access Grant, quindi seleziona Create Grant.

   L'immagine seguente mostra la pagina Create Grant nella console Amazon S3: Access Grants