Authentifizieren und Autorisieren von Anforderungen

Standardmäßig sind Verzeichnis-Buckets privat und sind nur für Benutzer zugänglich, denen explizit Zugriff gewährt wurde. Die Zugriffskontrollgrenze für Verzeichnis-Buckets wird nur auf Bucket-Ebene festgelegt. Im Gegensatz dazu kann die Zugriffskontrollgrenze für Allzweck-Buckets auf Bucket-, Präfix- oder Objekt-Tag-Ebene festgelegt werden. Dieser Unterschied bedeutet, dass Verzeichnis-Buckets die einzige Ressource sind, die Sie in Bucket-Richtlinien oder IAM-Identitätsrichtlinien für den Zugriff auf S3 Express One Zone aufnehmen können.

Amazon S3 Express One Zone unterstützt sowohl die AWS Identity and Access Management (AWS IAM)-Autorisierung als auch die sitzungsbasierte Autorisierung:

Mit der CreateSession-API-Operation authentifizieren und autorisieren Sie Anforderungen mithilfe eines neuen sitzungsbasierten Mechanismus. Sie können mit CreateSession temporäre Anmeldeinformationen anfordern, die den Zugriff auf Ihren Bucket mit geringer Latenz ermöglichen. Diese temporären Anmeldeinformationen sind auf einen bestimmten Verzeichnis-Bucket beschränkt.

Um mit CreateSession zu arbeiten, empfehlen wir, die neueste Version der AWS-SDKs oder die AWS Command Line Interface (AWS CLI) zu verwenden. Die unterstützten AWS-SDKs und die AWS CLI übernehmen für Sie die Einrichtung, Aktualisierung und Beendigung von Sitzungen.

Sie verwenden Sitzungstoken nur für zonale Operationen (Objektebene) (außer CopyObject und HeadBucket), um die mit der Autorisierung verbundene Latenz auf eine Reihe von Anforderungen in einer Sitzung zu verteilen. Für API-Operationen auf regionalen Endpunkten (Operationen auf Bucket-Ebene) verwenden Sie die IAM-Autorisierung, bei der keine Sitzung verwaltet wird. Weitere Informationen finden Sie unter Autorisieren regionaler Endpunkt-API-Operationen mit IAM und Autorisieren zonaler Endpunkt-API-Operationen mit CreateSession.

So werden API-Vorgänge autorisiert und authentifiziert

Die folgende Tabelle enthält Informationen zur Authentifizierung und Autorisierung für API-Operationen in Verzeichnis-Buckets. Für jeden API-Vorgang enthält die Tabelle den Namen der API-Operation, die IAM-Richtlinienaktion, den Endpunkttyp (regional oder zonal) und den Autorisierungsmechanismus (IAM oder sitzungsbasiert). In dieser Tabelle wird auch angegeben, ob kontoübergreifender Zugriff unterstützt wird. Der Zugriff auf Aktionen auf Bucket-Ebene kann nur über identitätsbasierte IAM-Richtlinien (Benutzer oder Rolle) und nicht über Bucket-Richtlinien gewährt werden.