Criar concessões

Uma concessão de acesso individual em uma instância do recurso Concessão de Acesso do S3 permite que uma identidade específica, ou seja, uma entidade principal do AWS Identity and Access Management (IAM), um usuário ou um grupo em um diretório corporativo, acesse uma localização registrada na instância do recurso Concessão de Acesso do S3. Uma localização associa buckets ou prefixos a um perfil do IAM. O recurso Concessão de Acesso do S3 assume esse perfil do IAM para distribuir credenciais temporárias aos beneficiários.

Depois de registrar pelo menos uma localização na instância do recurso Concessão de Acesso do S3, você poderá criar uma concessão de acesso.

O beneficiário pode ser um usuário ou um perfil do IAM ou um usuário ou um grupo de diretório. Um usuário de diretório é um usuário do seu diretório corporativo ou fonte de identidades externa que você associou à instância do recurso Concessão de Acesso do S3. Para obter mais informações, consulte Concessões de Acesso do S3 e identidades de diretórios corporativos. Para criar uma concessão para um usuário ou um grupo de diretório específico do Centro de Identidade do IAM, encontre o GUID usado para identificar esse usuário no Centro de Identidade do IAM, por exemplo, a1b2c3d4-5678-90ab-cdef-EXAMPLE11111. Para ter mais informações sobre como usar o Centro de Identidade do IAM para visualizar as informações do usuário, consulte View user and group assignments no Manual do usuário do AWS IAM Identity Center.

É possível conceder acesso a um bucket, um prefixo ou um objeto. Um prefixo no Amazon S3 é uma string de caracteres no início de um nome de chave de objeto que é usado para organizar os objetos dentro de um bucket. Pode ser qualquer string de caracteres permitidos, por exemplo, nomes de chave de objeto em um bucket que comece com o prefixo engineering/.

Subprefixo

Ao conceder acesso a uma localização registrada, é possível usar o campo Subprefix para restringir o escopo de acesso a um subconjunto do escopo da localização. Se a localização registrada que você escolher para a concessão for o caminho padrão do S3 (s3://), você deverá restringir o escopo da concessão. Não é possível criar uma concessão de acesso para a localização padrão (s3://), o que concederia ao beneficiário acesso a todos os buckets em uma Região da AWS. Em vez disso, é necessário restringir o escopo da concessão a um dos seguintes:

Se você estiver criando uma concessão de acesso em que a localização registrada seja um bucket, poderá enviar uma das seguintes opções no campo Subprefix para restringir o escopo da concessão:

Depois de criar a concessão, o escopo da concessão exibido no console do Amazon S3 ou o GrantScope exibido na resposta da API ou da AWS Command Line Interface (AWS CLI) é o resultado da concatenação do caminho da localização com o Subprefix. Garanta que esse caminho concatenado seja mapeado corretamente para o bucket, prefixo ou objeto do S3 ao qual você deseja conceder acesso.

Você pode criar uma concessão de acesso usando o console do Amazon S3, a AWS CLI, a API REST do Amazon S3 ou os AWS SDKs.

aws s3control create-access-grant \
--account-id 111122223333 \
--access-grants-location-id a1b2c3d4-5678-90ab-cdef-EXAMPLE22222 \
--access-grants-location-configuration S3SubPrefix=prefixB* \
--permission READ \
--grantee GranteeType=IAM,GranteeIdentifier=arn:aws:iam::123456789012:user/data-consumer-3

{"CreatedAt": "2023-05-31T18:41:34.663000+00:00",
    "AccessGrantId": "a1b2c3d4-5678-90ab-cdef-EXAMPLE11111",
    "AccessGrantArn": "arn:aws:s3:us-east-2:111122223333:access-grants/default/grant/a1b2c3d4-5678-90ab-cdef-EXAMPLE11111",
    "Grantee": {
        "GranteeType": "IAM",
        "GranteeIdentifier": "arn:aws:iam::111122223333:user/data-consumer-3"
    },
    "AccessGrantsLocationId": "a1b2c3d4-5678-90ab-cdef-EXAMPLE22222",
    "AccessGrantsLocationConfiguration": {
        "S3SubPrefix": "prefixB*"
    },
    "GrantScope": "s3://DOC-BUCKET-EXAMPLE/prefix*",
    "Permission": "READ"
}

aws identitystore list-users --identity-store-id d-1a2b3c4d1234 

aws identitystore list-groups --identity-store-id d-1a2b3c4d1234

aws s3control create-access-grant \
--account-id 123456789012 \
--access-grants-location-id default \
--access-grants-location-configuration S3SubPrefix="amzn-s3-demo-bucket/rafael/*" \
--permission READWRITE \
--grantee GranteeType=DIRECTORY_USER,GranteeIdentifier=83d43802-00b1-7054-db02-f1d683aacba5 \