範例 3：授予對其未擁有之物件的許可的儲存貯體擁有者

1. 確定您有兩個 AWS 帳戶，而且每個帳戶都有一個管理員，如上節的表格中所示。

   1. 視需要註冊一個 AWS 帳戶。

   2. 使用帳戶 A 憑證登入 IAM 主控台，然後執行下列步驟以建立管理員使用者：

      • 建立使用者 AccountAadmin，並記下使用者的安全憑證。如需有關新增使用者的詳細資訊，請參閱《IAM 使用者指南》中的在您的 AWS 帳戶 中建立 IAM 使用者。

      • 連接給予完整存取權的使用者政策，以授予 AccountAadmin 管理員許可。如需說明，請參閱《IAM 使用者指南》中的管理 IAM 政策。

      • 在 IAM 主控台儀表板中，記下 IAM 使用者登入 URL。登入 時，此帳戶中的使用者必須使用此 URLAWS 管理主控台 如需詳細資訊，請參閱《IAM 使用者指南》中的使用者如何登入您的帳戶。

   3. 使用帳戶 B 憑證重複前一個步驟，並建立管理員使用者 AccountBadmin。

2. 設定 AWS CLI 或 Tools for Windows PowerShell。請確定您如下所示儲存系統管理員憑證：

   • 如果使用 AWS CLI，請在組態檔中建立兩個描述檔，即 AccountAadmin 和 AccountBadmin。

   • 如果使用 Tools for Windows PowerShell，請確定您將工作階段的憑證作為 AccountAadmin 和 AccountBadmin 來存放。

   如需說明，請參閱「為逐步解說設定工具」。

1. 在 Amazon S3 主控台中建立儲存貯體。此練習假設儲存貯體是在美國東部 (維吉尼亞北部) AWS 區域建立，且名稱為 amzn-s3-demo-bucket1。

   如需說明，請參閱「建立一般用途儲存貯體」。

2. 在 IAM 主控台中，建立使用者 Dave。

   如需逐步說明，請參閱《IAM 使用者指南》中的建立 IAM 使用者 (主控台)。

3. 記下使用者 Dave 的憑證。

4. 在 Amazon S3 主控台中，將下列儲存貯體政策連接至 amzn-s3-demo-bucket1 儲存貯體。如需說明，請參閱「使用 Amazon S3 主控台新增儲存貯體政策」。遵循新增儲存貯體政策的步驟。如需有關如何尋找帳戶 ID 的資訊，請參閱尋找您的 AWS 帳戶 ID。

   政策會將 s3:PutObject 與 s3:ListBucket 許可授予帳戶 B。該政策也會將 s3:GetObject 許可授予使用者 Dave。

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
           {
               "Sid": "Statement1",
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::111122223333:root"
               },
               "Action": [
                   "s3:PutObject",
                   "s3:ListBucket"
               ],
               "Resource": [
                   "arn:aws:s3:::amzn-s3-demo-bucket1/*",
                   "arn:aws:s3:::amzn-s3-demo-bucket1"
               ]
           },
           {
               "Sid": "Statement3",
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::111122223333:user/Dave"
               },
               "Action": [
                   "s3:GetObject"
               ],
               "Resource": [
                   "arn:aws:s3:::amzn-s3-demo-bucket1/*"
               ]
           }
       ]
   }
   

使用 AWS CLI

1. 使用 put-object AWS CLI 命令上傳物件。命令中的 ---body 參數會識別要上傳的來源檔案。例如，若檔案位於 Windows 電腦的 C: 磁碟機，請指定 c:\HappyFace.jpg。--key 參數提供物件的金鑰名稱。

   aws s3api put-object --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg --body HappyFace.jpg --profile AccountBadmin

2. 新增物件 ACL 的授予許可，以允許儲存貯體擁有者可完全控制物件。如需如何尋找正式使用者 ID 的資訊，請參閱《AWS帳戶管理參考指南》中的尋找 AWS 帳戶的正式使用者 ID。

   aws s3api put-object-acl --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg --grant-full-control id="AccountA-CanonicalUserID" --profile AccountBadmin

使用 Tools for Windows PowerShell

1. 使用 Write-S3Object 命令上傳物件。

   Write-S3Object -BucketName amzn-s3-demo-bucket1 -key HappyFace.jpg -file HappyFace.jpg -StoredCredentials AccountBadmin

2. 新增物件 ACL 的授予許可，以允許儲存貯體擁有者可完全控制物件。

   Set-S3ACL -BucketName amzn-s3-demo-bucket1 -Key HappyFace.jpg -CannedACLName "bucket-owner-full-control" -StoredCreden

使用 AWS CLI

1. 將使用者 Dave 憑證新增至 AWS CLI 組態檔，並建立新的描述檔 UserDaveAccountA。如需詳細資訊，請參閱「為逐步解說設定工具」。

   [profile UserDaveAccountA]
   aws_access_key_id = access-key
   aws_secret_access_key = secret-access-key
   region = us-east-1

2. 執行 get-object CLI 命令來下載 HappyFace.jpg，並將其儲存在本機。您可以新增 --profile 參數，來提供使用者 Dave 憑證。

   aws s3api get-object --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg Outputfile.jpg --profile UserDaveAccountA

使用 Tools for Windows PowerShell

1. 將使用者 Dave AWS 憑證作為 UserDaveAccountA 存放，以便長久存放。

   Set-AWSCredentials -AccessKey UserDave-AccessKey -SecretKey UserDave-SecretAccessKey -storeas UserDaveAccountA

2. 執行 Read-S3Object 命令來下載 HappyFace.jpg 物件，並將其儲存在本機。您可以新增 -StoredCredentials 參數，來提供使用者 Dave 憑證。

   Read-S3Object -BucketName amzn-s3-demo-bucket1 -Key HappyFace.jpg -file HappyFace.jpg  -StoredCredentials UserDaveAccountA

1. 完成測試之後，您可以執行下列步驟進行清除：

   1. 使用帳戶 A 憑證登入 AWS 管理主控台，並執行下列操作：

      • 在 Amazon S3 主控台中，移除連接至 amzn-s3-demo-bucket1 的儲存貯體政策。在儲存貯體 Properties (屬性) 中，刪除 Permissions (許可) 區段中的政策。

      • 如果儲存貯體是為此練習而建立，請在 Amazon S3 主控台中刪除物件，然後刪除儲存貯體。

      • 在 IAM 主控台中，移除 AccountAadmin 使用者。如需逐步說明，請參閱《IAM 使用者指南》中的刪除 IAM 使用者。

2. 使用帳戶 B 憑證登入 AWS 管理主控台。在 IAM 主控台中，刪除使用者 AccountBadmin。