使用使用者政策來控制對儲存貯體的存取

1. 登入 AWS Management Console ，並在 https：//https://console.aws.amazon.com/iam/ 開啟 IAM 主控台。

2. 在 Navigation (導覽) 窗格中，選擇 IAM Dashboard (IAM 儀表板)。

3. 記下 IAM users sign in link: (IAM 使用者登入連結：) 下的 URL。將此連結提供給 IAM 使用者，讓他們使用 IAM 使用者名稱與密碼來登入主控台。

1. 登入 AWS Management Console ，並在 https://console.aws.amazon.com/s3/：// 開啟 Amazon S3 主控台。

2. 建立儲存貯體。

   如需逐步說明，請參閱 建立一般用途儲存貯體。

3. 將一份文件上傳到儲存貯體。

   此練習假設您在此儲存貯體的根層級中已有 s3-dg.pdf 文件。若要上傳不同的文件，請將其檔案名稱替換為 s3-dg.pdf。

4. 將名為 Private、Finance 和 Development 的三個資料夾新增至儲存貯體。

   如需建立資料夾的逐步說明，請參閱《Amazon Simple Storage Service 使用者指南》中的 在 Amazon S3 主控台中使用資料夾整理物件。

5. 在每個資料夾中上傳一到兩份文件。

   此練習假設您已在每個資料夾中上傳了一些文件，而且儲存貯體已有具有下列金鑰的物件：

   • Private/privDoc1.txt

   • Private/privDoc2.zip

   • Development/project1.xls

   • Development/project2.xls

   • Finance/Tax2011/document1.pdf

   • Finance/Tax2011/document2.pdf

   • s3-dg.pdf

   如需逐步說明，請參閱 上傳物件。

1. 使用 IAM 使用者登入連結 (請參閱「為 IAM 使用者提供登入連結」)，使用任一組 IAM 使用者憑證登入 AWS Management Console 。

2. 開啟位於 https://console.aws.amazon.com/s3/ 的 Amazon S3 主控台。

   確認主控台訊息會通知您存取被拒。

1. 登入 AWS Management Console ，並在 https：//https://console.aws.amazon.com/iam/ 開啟 IAM 主控台。

   注意

   由於您要授予使用者許可，請使用您的 AWS 帳戶 憑證來登入，不要以 IAM 使用者身分登入。

2. 建立受管政策。

   1. 在左邊的導覽窗格中，選擇 Policies (政策)，然後選擇 Create policy (建立政策)。

   2. 請選擇 JSON 索引標籤。

   3. 複製下列存取政策，並貼入政策的文字欄位中。

      {
        "Version": "2012-10-17",
        "Statement": [
          {
            "Sid": "AllowGroupToSeeBucketListInTheConsole",
            "Action": ["s3:ListAllMyBuckets"],
            "Effect": "Allow",
            "Resource": ["arn:aws:s3:::*"]
          }
        ]
      }

      政策是 JSON 文件。在此文件中，Statement 是物件陣列，每一個物件均使用一組名稱值對來描述許可。前面的政策在描述一項特定的許可。Action 會指定存取類型。在政策中，s3:ListAllMyBuckets 是預先定義的 Amazon S3 動作。此動作涵蓋 Amazon S3 GET Service 操作，此操作會傳回已驗證的傳送者擁有的所有儲存貯體清單。Effect 元素值決定要允許或拒絕特定許可。

   4. 選擇 Review Policy (檢閱政策)。在下一個頁面中，於 Name (名稱) 欄位輸入 AllowGroupToSeeBucketListInTheConsole，接著選擇 Create policy (建立政策)。

      注意

      Summary (摘要) 項目會顯示訊息，指出該政策未授予任何許可。就本演練為例，您可放心地忽略此訊息。

3. 將您建立的 AllowGroupToSeeBucketListInTheConsole 受管政策連接至 Consultants 群組。

   如需連接受管政策的逐步說明，請參閱《IAM 使用者指南》中的新增和移除 IAM 身分許可。

   您在 IAM 主控台中將政策文件連接至 IAM 使用者和群組。您希望這兩個使用者都能夠列出儲存貯體，因此將該政策連接至該群組。

4. 測試許可。

   1. 使用 IAM 使用者登入連結 (請參閱 為 IAM 使用者提供登入連結)，利用任一組 IAM 使用者憑證來登入主控台。

   2. 開啟位於 https://console.aws.amazon.com/s3/ 的 Amazon S3 主控台。

      主控台現在應會列出所有儲存貯體，但不會列出任何儲存貯體中的物件。

允許使用者列出根層級儲存貯體內容

1. 登入 AWS Management Console ，並在 https：//https://console.aws.amazon.com/iam/ 開啟 IAM 主控台。

   使用您的 AWS 帳戶 登入資料，而不是 IAM 使用者的登入資料來登入 主控台。

2. 以下列政策取代連接至 Consultants 群組的現有 AllowGroupToSeeBucketListInTheConsole 受管政策。此政策同樣也會允許 s3:ListBucket 動作。記得將政策 Resource 中的 companybucket 取代為您的儲存貯體名稱。

   如需逐步說明，請參閱《IAM 使用者指南》中的編輯 IAM 政策。執行逐步說明時，請務必遵循這些步驟，將您的變更套用到連接該政策的所有主體實體。

   {
     "Version": "2012-10-17",                 
     "Statement": [
        {
          "Sid": "AllowGroupToSeeBucketListAndAlsoAllowGetBucketLocationRequiredForListBucket",
          "Action": [ "s3:ListAllMyBuckets", "s3:GetBucketLocation" ],
          "Effect": "Allow",
          "Resource": [ "arn:aws:s3:::*"  ]
        },
        {
          "Sid": "AllowRootLevelListingOfCompanyBucket",
          "Action": ["s3:ListBucket"],
          "Effect": "Allow",
          "Resource": ["arn:aws:s3:::companybucket"],
          "Condition":{ 
                "StringEquals":{
                       "s3:prefix":[""], "s3:delimiter":["/"]
                              }
                      }
        }
     ] 
   }

3. 測試更新後的許可。

   1. 使用 IAM 使用者登入連結 (請參閱為 IAM 使用者提供登入連結) 登入 AWS Management Console。

      開啟位於 https://console.aws.amazon.com/s3/ 的 Amazon S3 主控台。

   2. 選擇您建立的儲存貯體，且主控台會顯示根層級儲存貯體項目。因為您尚未獲得指派這些許可，所以當您在儲存貯體中選擇任何資料夾時，會看不到資料夾內容。

1. 登入 AWS Management Console 並開啟位於 https：//https://console.aws.amazon.com/iam/ 的 IAM 主控台。

   使用您的 AWS 帳戶 登入資料，而不是 IAM 使用者的登入資料來登入 主控台。

2. 建立內嵌政策，將列出 Development 資料夾內容的許可授予使用者 Alice。

   1. 在左側導覽窗格中，選擇 Users (使用者)。

   2. 選擇使用者名稱 Alice。

   3. 在使用者詳細資訊頁面上，選擇 Permissions (許可) 索引標籤，然後選擇 Add inline policy (新增內嵌政策)。

   4. 請選擇 JSON 索引標籤。

   5. 複製下列政策，並將其貼入政策的文字欄位中。

      {
          "Version": "2012-10-17",  
          "Statement": [
          {
            "Sid": "AllowListBucketIfSpecificPrefixIsIncludedInRequest",
            "Action": ["s3:ListBucket"],
            "Effect": "Allow",
            "Resource": ["arn:aws:s3:::companybucket"],
            "Condition":{  "StringLike":{"s3:prefix":["Development/*"] }
             }
          }
        ]
      }

   6. 選擇 Review Policy (檢閱政策)。在下一個頁面中，於 Name (名稱) 欄位輸入一個名稱，接著選擇 Create policy (建立政策)。

3. 測試 Alice 的許可變更：

   1. 使用 IAM 使用者登入連結 (請參閱為 IAM 使用者提供登入連結) 登入 AWS Management Console。

   2. 開啟位於 https://console.aws.amazon.com/s3/ 的 Amazon S3 主控台。

   3. 在 Amazon S3 主控台上，確認 Alice 可以看到儲存貯體中 Development/ 資料夾中的物件清單。

      當使用者選擇 /Development 資料夾來查看其中的物件清單時，Amazon S3 主控台會將含有字首 ListObjects 的 /Development 請求傳送給 Amazon S3。因為使用者獲許可查看字首為 Development 和分隔符號為 / 的物件清單，所以 Amazon S3 會傳回金鑰前綴為 Development/ 的物件清單，而主控台會顯示該清單。

1. 登入 AWS Management Console ，並在 https：//https://console.aws.amazon.com/s3/ 開啟 Amazon S3 主控台。

   使用您的 AWS 帳戶 登入資料，而不是 IAM 使用者的登入資料來登入 主控台。

2. 編輯您在前一個步驟中建立的內嵌政策。

   1. 在左側導覽窗格中，選擇 Users (使用者)。

   2. 選擇使用者名稱 Alice。

   3. 在使用者詳細資訊頁面上，選擇 Permissions (許可) 標籤，然後展開 ​Inline Policies (內嵌政策) 區段。

   4. 在前一個步驟中建立的政策名稱旁，選擇 Edit Policy (編輯政策)。

   5. 複製下列政策並貼到政策文字欄位，以取代現有政策。

      {
           "Version": "2012-10-17",
           "Statement":[
            {
               "Sid":"AllowListBucketIfSpecificPrefixIsIncludedInRequest",
               "Action":["s3:ListBucket"],
               "Effect":"Allow",
               "Resource":["arn:aws:s3:::companybucket"],
               "Condition":{
                  "StringLike":{"s3:prefix":["Development/*"]
                  }
               }
            },
            {
              "Sid":"AllowUserToReadWriteObjectDataInDevelopmentFolder", 
              "Action":["s3:GetObject", "s3:PutObject"],
              "Effect":"Allow",
              "Resource":["arn:aws:s3:::companybucket/Development/*"]
            }
         ]
      }

3. 測試更新後的政策：

   1. 使用 IAM 使用者登入連結 (請參閱為 IAM 使用者提供登入連結) 登入 AWS Management Console。

   2. 開啟位於 https://console.aws.amazon.com/s3/ 的 Amazon S3 主控台。

   3. 在 Amazon S3 主控台上，確認 Alice 現在已可以在 Development 資料夾中新增和下載物件。

1. 登入 AWS Management Console ，並在 https://console.aws.amazon.com/s3/：// 開啟 Amazon S3 主控台。

   使用您的 AWS 帳戶 登入資料，而不是 IAM 使用者的登入資料來登入 主控台。

2. 以下列政策取代連接至 Consultants 群組的現有 AllowGroupToSeeBucketListInTheConsole 受管政策。請務必將政策中的 companybucket 取代為您的儲存貯體名稱。

   如需說明，請參閱《IAM 使用者指南》中的編輯客戶管理政策。執行逐步說明時，請務必遵循指示，將您的變更套用到獲指派該政策的所有主體實體。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "AllowGroupToSeeBucketListAndAlsoAllowGetBucketLocationRequiredForListBucket",
         "Action": ["s3:ListAllMyBuckets", "s3:GetBucketLocation"],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::*"]
       },
       {
         "Sid": "AllowRootLevelListingOfCompanyBucket",
         "Action": ["s3:ListBucket"],
         "Effect": "Allow",
         "Resource": ["arn:aws:s3:::companybucket"],
         "Condition":{
             "StringEquals":{"s3:prefix":[""]}
          }
       },
       {
         "Sid": "RequireFolderStyleList",
         "Action": ["s3:ListBucket"],
         "Effect": "Deny",
         "Resource": ["arn:aws:s3:::*"],
         "Condition":{
             "StringNotEquals":{"s3:delimiter":"/"}
          }
        },
       {
         "Sid": "ExplictDenyAccessToPrivateFolderToEveryoneInTheGroup",
         "Action": ["s3:*"],
         "Effect": "Deny",
         "Resource":["arn:aws:s3:::companybucket/Private/*"]
       },
       {
         "Sid": "DenyListBucketOnPrivateFolder",
         "Action": ["s3:ListBucket"],
         "Effect": "Deny",
         "Resource": ["arn:aws:s3:::*"],
         "Condition":{
             "StringLike":{"s3:prefix":["Private/"]}
          }
       }
     ]
   }