Accès aux données S3 à l’aide des informations d’identification fournies par S3 Access Grants
Une fois qu’un bénéficiaire a obtenu des informations d’identification temporaires via son autorisation d’accès, il peut utiliser ces informations d’identification temporaires pour appeler les opérations d’API Amazon S3 afin d’accéder à vos données.
Les bénéficiaires peuvent accéder aux données S3 à l’aide de l’AWS Command Line Interface (AWS CLI), des kits AWS SDK ou de l’API REST Amazon S3. En outre, vous pouvez utiliser les plug-ins AWS Python
Une fois que le bénéficiaire a obtenu ses informations d’identification temporaires auprès de S3 Access Grants, il peut configurer un profil avec ces informations d’identification pour récupérer les données.
Pour installer la AWS CLI, consultez Installation de la AWS CLI dans le Guide de l’utilisateur AWS Command Line Interface.
Pour utiliser les exemples de commandes suivants, remplacez les par vos propres informations.user input
placeholders
Exemple : Configurer un profil
aws configure set aws_access_key_id "$accessKey" --profileaccess-grants-consumer-access-profileaws configure set aws_secret_access_key "$secretKey" --profileaccess-grants-consumer-access-profileaws configure set aws_session_token "$sessionToken" --profileaccess-grants-consumer-access-profile
Pour utiliser l’exemple de commande suivant, remplacez les par vos propres informations.user input
placeholders
Exemple : Obtenir les données S3
Le bénéficiaire peut utiliser la commande AWS CLI get-object pour accéder aux données. Le bénéficiaire peut également utiliser put-object, ls et d’autres commandes AWS CLI S3.
aws s3api get-object \ --bucketamzn-s3-demo-bucket1\ --keymyprefix\ --regionus-east-2\ --profileaccess-grants-consumer-access-profile
Cette section fournit des exemples illustrant comment les bénéficiaires peuvent accéder à vos données S3 à l’aide des kits AWS SDK.
Actions S3 prises en charge dans S3 Access Grants
Un bénéficiaire peut utiliser les informations d’identification temporaires fournies par S3 Access Grants pour effectuer des actions S3 sur les données S3 auxquelles il a accès. Voici une liste des actions S3 qui peuvent être autorisées et qu’un bénéficiaire peut effectuer. Les actions qui peuvent être autorisées dépendent du niveau d’autorisation accordé dans l’autorisation d’accès : READ, WRITE ou READWRITE.
Note
Outre les autorisations Amazon S3 répertoriées ci-dessous, Amazon S3 peut appeler l’autorisation AWS Key Management Service (AWS KMS) Decrypt (kms:decrypt) READ ou l’autorisation AWS KMS GenerateDataKey (kms:generateDataKey) WRITE. Ces autorisations ne permettent pas d’accéder directement à la clé AWS KMS.
| Action IAM S3 | Action d’API et documentation | Autorisation S3 Access Grants | Ressource S3 |
|---|---|---|---|
s3:GetObject |
GetObject | READ |
Objet |
s3:GetObjectVersion |
GetObject | READ |
Objet |
s3:GetObjectAcl |
GetObjectAcl | READ |
Objet |
s3:GetObjectVersionAcl |
GetObjectAcl | READ |
Objet |
s3:ListMultipartUploads |
ListParts | READ |
Objet |
s3:PutObject |
PutObject, CreateMultipartUpload, UploadPart, UploadPartCopy, CompleteMultipartUpload | WRITE |
Objet |
s3:PutObjectAcl |
PutObjectAcl | WRITE |
Objet |
s3:PutObjectVersionAcl |
PutObjectAcl | WRITE |
Objet |
s3:DeleteObject |
DeleteObject | WRITE |
Objet |
s3:DeleteObjectVersion |
DeleteObject | WRITE |
Objet |
s3:AbortMultipartUpload |
AbortMultipartUpload | WRITE |
Objet |
s3:ListBucket |
HeadBucket, ListObjectsV2, ListObjects | READ |
Compartiment |
s3:ListBucketVersions |
ListObjectVersions | READ |
Compartiment |
s3:ListBucketMultipartUploads |
ListMultipartUploads | READ |
Compartiment |