Beispiel 3: Bucket-Eigentümer, der Berechtigungen für Objekte erteilt, die ihm nicht gehören

1. Stellen Sie sicher, dass Sie zwei AWS-Konten haben und dass jedes Konto einen Administrator hat, wie in der Tabelle im vorigen Abschnitt gezeigt.

   1. Melden Sie sich nach Bedarf für ein AWS-Konto an.

   2. Melden Sie sich mit den Anmeldeinformationen von Konto A bei der IAM-Konsole an und führen Sie Folgendes aus, um einen Administratorbenutzer zu erstellen:

      • Erstellen Sie den Benutzer AccountAadmin und notieren Sie sich die Sicherheitsanmeldeinformationen des Benutzers. Weitere Informationen zum Hinzufügen von Benutzern finden Sie unter Erstellen eines IAM-Benutzers in Ihrem AWS-Konto im IAM-Benutzerhandbuch.

      • Erteilen Sie dem AccountAadmin Administratorberechtigungen, indem Sie ihm eine Benutzerrichtlinie zuordnen, die ihm vollen Zugriff bietet. Weitere Informationen finden Sie unter Verwalten von IAM-Richtlinien im IAM-Benutzerhandbuch.

      • Schreiben Sie sich die IAM-Benutzer-Anmelde-URL auf dem Dashboard der IAM-Konsole auf. Benutzer in diesem Konto müssen diese URL für die Anmeldung an der verwende AWS-Managementkonsole. Weitere Informationen finden Sie unter Wie sich Benutzer in Ihrem Konto anmelden im IAM-Benutzerhandbuch.

   3. Wiederholen Sie den obigen Schritt unter Verwendung der Anmeldeinformationen von Konto B und erstellen Sie den Administrator-Benutzer AccountBadmin.

2. Richten Sie die AWS CLI oder die Tools for Windows PowerShell ein. Stellen Sie sicher, dass Sie die Administratoranmeldeinformationen wie folgt speichern:

   • Wenn Sie die AWS CLI verwenden, erstellen Sie die beiden Profile AccountAadmin und AccountBadmin in der Config-Datei.

   • Wenn Sie die Tools for Windows PowerShell verwenden, stellen Sie sicher, dass Sie die Anmeldeinformationen für die Sitzung als AccountAadmin und AccountBadmin speichern.

   Detaillierte Anweisungen finden Sie unter Einrichten der Tools für die Anleitungen.

1. Erstellen Sie in der Amazon-S3-Konsole einen Bucket. Diese Übung geht davon aus, dass der Bucket in der AWS-Region USA Ost (Nord-Virginia) erstellt wurde und amzn-s3-demo-bucket1 heißt.

   Detaillierte Anweisungen finden Sie unter Erstellen eines Allzweck-Buckets.

2. Erstellen Sie in der IAM-Konsole einen Benutzer Dave.

   Detaillierte Anleitungen finden Sie unter Erstellen von IAM-Benutzern (Konsole) im IAM-Benutzerhandbuch.

3. Notieren Sie sich die Anmeldeinformationen des Benutzers Dave auf.

4. Weisen Sie in der Amazon-S3-Konsole die folgende Bucket-Richtlinie dem amzn-s3-demo-bucket1-Bucket zu. Detaillierte Anweisungen finden Sie unter Hinzufügen einer Bucket-Richtlinie mit der Amazon-S3-Konsole. Folgen Sie den Schritten, um eine Bucket-Richtlinie hinzuzufügen. Informationen darüber, wie Sie Konto-IDs finden, erhalten Sie unter Ihre AWS-Konto-ID finden.

   Die Richtlinie erteilt Konto B die Berechtigung s3:PutObject und s3:ListBucket. Die Richtlinie erteilt außerdem dem Benutzer Dave die s3:GetObject-Berechtigung.

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
           {
               "Sid": "Statement1",
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::111122223333:root"
               },
               "Action": [
                   "s3:PutObject",
                   "s3:ListBucket"
               ],
               "Resource": [
                   "arn:aws:s3:::amzn-s3-demo-bucket1/*",
                   "arn:aws:s3:::amzn-s3-demo-bucket1"
               ]
           },
           {
               "Sid": "Statement3",
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::111122223333:user/Dave"
               },
               "Action": [
                   "s3:GetObject"
               ],
               "Resource": [
                   "arn:aws:s3:::amzn-s3-demo-bucket1/*"
               ]
           }
       ]
   }
   

Verwendung der AWS CLI

1. Laden Sie mit dem AWS CLI-Befehl put-object ein Objekt hoch. Der Parameter --body im Befehl identifiziert die hochzuladende Quelldatei. Befindet sich die Datei beispielsweise auf dem Laufwerk C: eines Windows-Computers, geben Sie c:\HappyFace.jpg an. Der Parameter --key gibt den Schlüsselnamen für das Objekt an.

   aws s3api put-object --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg --body HappyFace.jpg --profile AccountBadmin

2. Erteilung einer Berechtigung in der Objekt-ACL, um dem Bucket-Eigentümer volle Kontrolle über das Objekt zu erteilen. Informationen dazu, wie Sie eine kanonische Benutzer-ID finden, finden Sie unter Die kanonische Benutzer-ID für Ihr AWS-Konto finden im AWS-Referenzhandbuch zur Kontoverwaltung.

   aws s3api put-object-acl --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg --grant-full-control id="AccountA-CanonicalUserID" --profile AccountBadmin

Verwendung der Tools-for-Windows-PowerShell

1. Laden Sie mithilfe des Befehls Write-S3Object ein Objekt hoch.

   Write-S3Object -BucketName amzn-s3-demo-bucket1 -key HappyFace.jpg -file HappyFace.jpg -StoredCredentials AccountBadmin

2. Erteilung einer Berechtigung in der Objekt-ACL, um dem Bucket-Eigentümer volle Kontrolle über das Objekt zu erteilen.

   Set-S3ACL -BucketName amzn-s3-demo-bucket1 -Key HappyFace.jpg -CannedACLName "bucket-owner-full-control" -StoredCreden

Verwendung der AWS CLI

1. Fügen Sie die Anmeldeinformationen von Benutzer Dave der AWS CLI-Config-Datei hinzu, und erstellen Sie ein neues Profil, UserDaveAccountA. Weitere Informationen finden Sie unter Einrichten der Tools für die Anleitungen.

   [profile UserDaveAccountA]
   aws_access_key_id = access-key
   aws_secret_access_key = secret-access-key
   region = us-east-1

2. Führen Sie den CLI-Befehl get-object aus, um HappyFace.jpg herunterzuladen und es lokal zu speichern. Sie stellen dem Benutzer Dave Anmeldeinformationen bereit, indem Sie den Parameter --profile hinzufügen.

   aws s3api get-object --bucket amzn-s3-demo-bucket1 --key HappyFace.jpg Outputfile.jpg --profile UserDaveAccountA

Verwendung der Tools-for-Windows-PowerShell

1. Speichern Sie die AWS-Anmeldeinformationen von Benutzer Dave als UserDaveAccountA im persistenten Speicher.

   Set-AWSCredentials -AccessKey UserDave-AccessKey -SecretKey UserDave-SecretAccessKey -storeas UserDaveAccountA

2. Führen Sie den Befehl Read-S3Object aus, um das Objekt HappyFace.jpg herunterzuladen und es lokal zu speichern. Sie stellen dem Benutzer Dave Anmeldeinformationen bereit, indem Sie den Parameter -StoredCredentials hinzufügen.

   Read-S3Object -BucketName amzn-s3-demo-bucket1 -Key HappyFace.jpg -file HappyFace.jpg  -StoredCredentials UserDaveAccountA

1. Nachdem Sie mit den Tests fertig sind, räumen Sie wie folgt auf:

   1. Melden Sie sich mit den Anmeldeinformationen von Konto A an der AWS-Managementkonsole an und machen Sie Folgendes:

      • Entfernen Sie in der Amazon-S3-Konsole die an amzn-s3-demo-bucket1 angefügte Bucket-Richtlinie. Löschen Sie in den Bucket Properties die Richtlinie im Abschnitt Permissions.

      • Wenn der Bucket für diese Übung erstellt wurde, löschen Sie in der Amazon-S3-Konsole die Objekte und dann den Bucket.

      • Entfernen Sie in der IAM-Konsole den Benutzer AccountAadmin. Schritt-für-Schritt-Anleitungen finden Sie unter Löschen eines IAM-Benutzers im IAM-Benutzerhandbuch.

2. Melden Sie sich mit den Anmeldeinformationen von Konto B an der AWS-Managementkonsole an. Löschen Sie in der IAM-Konsole den Benutzer AccountBadmin.