Solicitar acesso aos dados do Amazon S3 por meio da funcionalidade Concessões de Acesso do S3

Depois de criar uma concessão de acesso usando a funcionalidade Concessão de Acesso do S3, os beneficiários podem solicitar credenciais para acessar os dados do S3 aos quais receberam acesso. Os beneficiários podem ser entidades principais do AWS Identity and Access Management (IAM), suas identidades de diretório corporativo ou aplicações autorizadas.

Uma aplicação ou um AWS service (Serviço da AWS) pode usar a operação de API GetDataAccess da Concessão de Acesso do S3 para pedir a esse recurso acesso aos dados do S3 em nome de um beneficiário. Primeiro, GetDataAccess verifica se você concedeu acesso aos dados a essa entidade. Em seguida, a funcionalidade Concessões de Acesso do S3 usa a operação de API AssumeRole para obter um token de credencial temporário e o envia ao solicitante. Esse token temporário de credencial é um token do AWS Security Token Service (AWS STS).

A solicitação GetDataAccess deve incluir o parâmetro target, que especifica o escopo dos dados do S3 aos quais as credenciais temporárias se aplicam. Esse escopo target pode ser igual ao escopo da concessão ou um subconjunto desse escopo, mas o escopo target deve estar dentro do escopo da concessão dada à entidade autorizada. A solicitação também deve especificar o parâmetro permission para indicar o nível de permissão das credenciais temporárias, seja READ, WRITE ou READWRITE.

Privilege

O solicitante pode especificar o nível de privilégio do token temporário na solicitação de credencial. Usando o parâmetro privilege, o solicitante pode reduzir ou aumentar o escopo de acesso das credenciais temporárias, dentro dos limites do escopo da concessão. O valor padrão do parâmetro privilege é Default, o que significa que o escopo target da credencial retornada é o escopo original da concessão. O outro valor possível para privilege é Minimal. Se o escopo target for reduzido do escopo original da concessão, a credencial temporária será reduzida para corresponder ao escopo target, desde que o escopo target esteja dentro do escopo da concessão.

A tabela a seguir detalha o efeito do parâmetro privilege em duas concessões. Uma concessão tem o escopo S3://amzn-s3-demo-bucket1/bob/*, que inclui todo o prefixo bob/ no bucket amzn-s3-demo-bucket1. A outra concessão tem o escopo S3://amzn-s3-demo-bucket1/bob/reports/*, que inclui apenas o prefixo bob/reports/ no bucket amzn-s3-demo-bucket1.

Identidades de diretório

GetDataAccess considera todas as identidades envolvidas em uma solicitação ao correlacionar concessões adequadas. Para identidades de diretórios corporativos, GetDataAccess também retorna as concessões da identidade do IAM que é usada para a sessão com reconhecimento de identidade. Consulte mais informações sobre sessões com reconhecimento de identidade em Como conceder permissões para usar sessões de console com reconhecimento de identidade no Guia do usuário do AWS Identity and Access Management. GetDataAccess gera credenciais que restringem o escopo à concessão mais restritiva, conforme mostrado na seguinte tabela:

Duração

O parâmetro durationSeconds define a duração da credencial temporária, em segundos. O valor padrão é 3600 segundos (1 hora), mas o solicitante (o beneficiário) pode especificar um intervalo que varia de 900 segundos (15 minutos) até 43200 segundos (12 horas). Se o beneficiário solicitar um valor maior do que esse máximo, a solicitação falhará.

Exemplos

É possível solicitar credenciais temporárias usando a AWS Command Line Interface (AWS CLI), a API REST do Amazon S3 e os SDKs da AWS. Consulte estes exemplos.

Consulte mais informações em GetDataAccess na Referência de API do Amazon Simple Storage Service.

aws s3control get-data-access \
--account-id 111122223333 \
--target s3://amzn-s3-demo-bucket/prefixA* \
--permission READ \
--privilege Default \
--region us-east-2

{
"Credentials": {
"AccessKeyId": "Example-key-id",
"SecretAccessKey": "Example-access-key",
"SessionToken": "Example-session-token",
"Expiration": "2023-06-14T18:56:45+00:00"},
"MatchedGrantTarget": "s3://amzn-s3-demo-bucket/prefixA**",
"Grantee": {
    "GranteeType": "IAM",
    "GranteeIdentifier": "arn:aws:iam::111122223333:role/role-name"
 }
}