Configuration du navigateur de stockage pour S3

Pour connecter les utilisateurs finaux aux emplacements Amazon S3, vous devez d’abord configurer une méthode d’authentification et d’autorisation. Il existe trois méthodes pour configurer une méthode d’authentification et d’autorisation avec le navigateur de stockage :

Méthode 1 : gérer l’accès aux données pour vos clients et partenaires tiers

Avec cette méthode, vous pouvez utiliser AWS Amplify Auth pour gérer le contrôle d’accès et la sécurité des fichiers. Cette méthode est idéale lorsque vous souhaitez connecter vos clients ou partenaires tiers aux données dans S3. Grâce à cette option, vos clients peuvent s’authentifier à l’aide de fournisseurs d’identité sociaux ou d’entreprise.

Vous fournissez des informations d’identification IAM aux utilisateurs finaux et à des partenaires tiers à l’aide d’AWS Amplify Auth avec un compartiment S3 configuré pour utiliser Amplify Storage. AWS Amplify Auth repose sur Amazon Cognito, un service entièrement géré de gestion de l’identité et de l’accès des clients. Il vous permet d’authentifier et d’autoriser les utilisateurs à partir d’un annuaire intégré d’utilisateurs, d’un annuaire d’entreprise ou de fournisseurs d’identité grand public. Le modèle d’autorisation Amplify définit les préfixes auxquels l’utilisateur authentifié actif peut accéder. Pour plus d’informations sur la configuration de l’autorisation pour AWS Amplify, consultez Configuration du stockage.

Pour initialiser le composant avec les méthodes d’authentification et de stockage Amplify, ajoutez l’extrait de code suivant à votre application web :

import {
  createAmplifyAuthAdapter,
  createStorageBrowser,
} from '@aws-amplify/ui-react-storage/browser';
import "@aws-amplify/ui-react-storage/styles.css";

import config from './amplify_outputs.json';

Amplify.configure(config);

export const { StorageBrowser } = createStorageBrowser({
  config: createAmplifyAuthAdapter(),
});

Méthode 2 : gestion de l’accès aux données pour vos principaux IAM pour votre compte AWS

Si vous souhaitez gérer l’accès pour vos principaux IAM ou votre Compte AWS directement, vous pouvez créer un rôle IAM autorisé à invoquer l’opération d’API S3 GetDataAccess. Pour configurer cela, vous devez créer une instance S3 Access Grants afin de mapper les autorisations des compartiments à usage général et les préfixes S3 aux identités IAM spécifiées. Le composant Navigateur de stockage (qui doit également être appelé côté client après l’obtention des informations d’identification IAM) invoque ensuite l’opération d’API ListCallerAccessGrants de S3 pour récupérer les autorisations disponibles pour le demandeur d’identité et renseigner les emplacements dans le composant. Une fois que vous avez obtenu l’autorisation s3:GetDataAccess, ces informations d’identification sont ensuite utilisées par le composant Navigateur de stockage pour demander l’accès aux données à S3.

import {
  createManagedAuthAdapter,
  createStorageBrowser,
} from '@aws-amplify/ui-react-storage/browser';
import "@aws-amplify/ui-react-storage/styles.css";

export const { StorageBrowser } = createStorageBrowser({
  config: createManagedAuthAdapter({
    credentialsProvider: async (options?: { forceRefresh?: boolean }) => {
      // return your credentials object
      return {
        credentials: {
          accessKeyId: 'my-access-key-id',
          secretAccessKey: 'my-secret-access-key',
          sessionToken: 'my-session-token',
          expiration: new Date()
        },
      }
    },
    // AWS `region` and `accountId`
    region: '',
    accountId: '',
    // call `onAuthStateChange` when end user auth state changes 
    // to clear sensitive data from the `StorageBrowser` state
    registerAuthListener: (onAuthStateChange) => {},
  })
});

Méthode 3 : gestion de l’accès aux données à l’échelle

Si vous souhaitez associer une instance S3 Access Grants à IAM Identity Center pour bénéficier d’une solution plus évolutive (par exemple, si vous souhaitez fournir l’accès aux données à l’ensemble de votre entreprise), vous pouvez demander des données à Amazon S3 au nom de l’utilisateur authentifié actuel. Par exemple, vous pouvez autoriser les groupes d’utilisateurs de votre annuaire d’entreprise à accéder à vos données dans S3. Cette approche vous permet de gérer de manière centralisée les autorisations S3 Access Grants pour vos utilisateurs et groupes, y compris celles hébergées par des fournisseurs externes tels que Microsoft Entra, Okta, etc.

Lorsque vous utilisez cette méthode, l’intégration à l’IAM Identity Center vous permet d’utiliser les annuaires d’utilisateurs existants. Un autre avantage de la propagation d’identité approuvée d’IAM Identity Center est que chaque événement de données AWS CloudTrail pour Amazon S3 contient une référence directe à l’identité de l’utilisateur final qui a accédé aux données S3.

Si votre application prend en charge OAuth 2.0 et que vos utilisateurs ont besoin d’accéder à des services AWS depuis ces applications, nous vous recommandons d’utiliser la propagation d’identité approuvée. Grâce à la propagation d’identité approuvée, un utilisateur peut se connecter à une application, et cette application peut transmettre l’identité de l’utilisateur dans toutes les demandes d’accès aux données dans les services AWS. Cette application interagit avec IAM Identity Center pour le compte de tous les utilisateurs authentifiés. Pour plus d’informations, consultez Utilisation de la propagation d’identité approuvée entre applications.

La propagation fiable des identités est une fonctionnalité AWS IAM Identity Center que les administrateurs de Services AWS connectés peuvent utiliser pour accorder et auditer l’accès aux données de service. L'accès à ces données est basé sur les attributs de l'utilisateur tels que les associations de groupes. La mise en place d'une propagation d'identité sécurisée nécessite une collaboration entre les administrateurs de Services AWS connectés et les administrateurs d'IAM Identity Center. Pour plus d’informations, consultez Prérequis et considérations.​

Configuration

Pour configurer l’authentification du navigateur de stockage dans la AWS Management Console à l’aide de S3 Access Grants et de la propagation d’identité approuvée d’IAM Identity Center, vos applications doivent demander des données à Amazon S3 au nom de l’utilisateur authentifié actuel. Grâce à cette approche, vous pouvez donner aux utilisateurs ou aux groupes d’utilisateurs de votre annuaire d’entreprise un accès direct à vos compartiments, préfixes ou objets S3. Votre application n’a donc pas besoin de mapper des utilisateurs à un principal IAM.

Le flux de travail suivant décrit les étapes de configuration du navigateur de stockage pour S3, à l’aide d’IAM Identity Center et de S3 Access Grants :

Activation d’IAM Identity Center pour AWS Organizations

Pour activer IAM Identity Center pour AWS Organizations, effectuez les opérations suivantes :

Au besoin, AWS Organizations envoie automatiquement un e-mail de vérification à l’adresse associée à votre compte de gestion. Il peut y avoir un délai avant la réception de l’e-mail de vérification. Assurez-vous de vérifier votre adresse e-mail dans les 24 heures, avant l’expiration de l’e-mail de vérification.

Configuration de la fédération Gestion des identités et des accès AWS Identity Center

Pour utiliser le navigateur de stockage pour S3 avec les utilisateurs de l’annuaire d’entreprise, vous devez configurer IAM Identity Center pour qu’il utilise un fournisseur d’identité (IdP) externe. Vous pouvez utiliser le fournisseur d’identité de votre choix. Sachez toutefois que chaque fournisseur d’identité utilise des paramètres de configuration différents. Pour en savoir plus sur l’utilisation de différents fournisseurs d’identité externes, consultez les didacticiels sources d’IAM Identity Center.

Ajout d’un émetteur de jetons approuvés dans la console Gestion des identités et des accès AWS Identity Center

L’émetteur de jetons approuvés représente votre fournisseur d’identité externe au sein d’Gestion des identités et des accès AWS Identity Center, et reconnaît les jetons d’identité des utilisateurs authentifiés de votre application. Le propriétaire du compte de l’instance IAM Identity Center de votre entité AWS Organizations doit effectuer ces étapes. Cela peut avoir lieu soit dans la console IAM Identity Center, soit par programmation.

Pour ajouter un émetteur de jetons approuvés dans la console Gestion des identités et des accès AWS Identity Center, effectuez les opérations suivantes :

Création d’un rôle IAM pour l’application bootstrap et le identity bearer

Pour que l’application bootstrap et les utilisateurs du identity bearer puissent interagir de manière appropriée, veillez à créer deux rôles IAM. Un rôle IAM est requis pour l’application bootstrap, et l’autre rôle IAM doit être utilisé pour le porteur d’identité ou pour les utilisateurs finaux qui accèdent à l’application web demandant l’accès via S3 Access Grants. L’application bootstrap recevra le jeton émis par le fournisseur d’identité et invoquera l’API CreateTokenWithIAM, en échangeant ce jeton avec celui émis par Identity Center.

Créez un rôle IAM, comme bootstrap-role, avec les autorisations suivantes. L’exemple suivant de politique IAM donne les autorisations nécessaires pour que bootstrap-role effectue l’échange de jetons :

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [{
        "Action": [
            "sso-oauth:CreateTokenWithIAM",
        ],
        "Resource": "arn:${Partition}:sso::${AccountId}:application/${InstanceId}/${ApplicationId}",
        "Effect": "Allow"
    },
    {
        "Action": [
            "sts:AssumeRole",
            "sts:SetContext"
        ],
        "Resource": "arn:aws:iam::${AccountId}:role/identity-bearer-role",
        "Effect": "Allow"
    }]
}

Créez ensuite un deuxième rôle IAM (comme identity-bearer-role), que le fournisseur d’identité utilisera pour générer les informations d’identification IAM. Les informations d’identification IAM renvoyées par le fournisseur d’identité à l’application web sont utilisées par le composant Navigateur de stockage pour S3 afin d’autoriser l’accès aux données S3 :

{
    "Action": [
        "s3:GetDataAccess",
        "s3:ListCallerAccessGrants",
    ],
    "Resource": "arn:${Partition}:s3:${Region}:${Account}:access-grants/default",
    "Effect": "Allow"
} 

Ce rôle IAM (identity-bearer-role) doit utiliser une politique d’approbation avec l’instruction suivante :

{
   "Effect": "Allow",
   "Principal": {
      "AWS": "arn:${Partition}:iam::${Account}:role/${RoleNameWithPath}"
   },
   "Action": [
       "sts:AssumeRole",
       "sts:SetContext"
   ]
}

Création et configuration de votre application dans IAM Identity Center

Pour créer et configurer une application gérée par le client dans AWS IAM Identity Center, effectuez les étapes suivantes :

Une fois que vous avez configuré vos applications, vos utilisateurs peuvent y accéder depuis leur portail d’accès AWS en fonction des ensembles d’autorisations que vous avez créés et de l’accès utilisateur que vous avez attribué.

Ajout de S3 Access Grants en tant qu’application approuvée pour la propagation des identités

Après avoir configuré votre application gérée par le client, vous devez spécifier S3 Access Grants pour la propagation des identités. S3 Access Grants fournit des informations d’identification aux utilisateurs pour qu’ils puissent accéder aux données Amazon S3. Lorsque vous vous connectez à votre application gérée par le client, S3 Access Grants transmet votre identité d’utilisateur à l’application approuvée.

Prérequis : assurez-vous d’avoir configuré S3 Access Grants (par exemple, en créant une instance S3 Access Grants et en enregistrant un emplacement) avant de suivre ces étapes. Pour plus d’informations, consultez Bien démarrer avec S3 Access Grants.

Pour ajouter S3 Access Grants à des fins de propagation d’identité à votre application gérée par le client, effectuez les opérations suivantes :

Création d’une autorisation pour un utilisateur ou un groupe d’utilisateurs

Au cours de cette étape, vous utiliserez IAM Identity Center pour provisionner vos utilisateurs. Vous pouvez utiliser SCIM pour le provisionnement automatique ou manuel des utilisateurs et des groupes. SCIM synchronise les identités de votre IAM Identity Center avec les identités de votre fournisseur d’identité (IdP). Cela inclut le provisionnement, les mises à jour et le déprovisionnement des utilisateurs entre votre fournisseur d’identité et IAM Identity Center.

Pour synchroniser les utilisateurs du fournisseur d’identité avec IAM Identity Center, effectuez les opérations suivantes :

Pour obtenir des exemples de configuration du fournisseur d’identité avec IAM Identity Center pour votre cas d’utilisation spécifique, consultez les didacticiels sur les sources d’identité d’IAM Identity Center.

Création du composant Navigateur de stockage pour S3

Après avoir configuré une instance IAM Identity Center et après avoir créé des autorisations dans S3 Access Grants, ouvrez l’application React. Dans l’application React, utilisez createManagedAuthAdapter pour configurer les règles d’autorisation. Vous devez indiquer un fournisseur d’informations d’identification pour renvoyer les informations d’identification que vous avez obtenues auprès d’IAM Identity Center. Vous pouvez ensuite appeler createStorageBrowser pour initialiser le composant Navigateur de stockage pour S3 :

import {
    createManagedAuthAdapter,
    createStorageBrowser,
} from '@aws-amplify/ui-react-storage/browser';
import '@aws-amplify/ui-react-storage/styles.css';

export const { StorageBrowser } = createStorageBrowser({
   config: createManagedAuthAdapter({
    credentialsProvider: async (options?: { forceRefresh?: boolean }) => {
      // return your credentials object
      return {
        credentials: {
          accessKeyId: 'my-access-key-id',
          secretAccessKey: 'my-secret-access-key',
          sessionToken: 'my-session-token',
          expiration: new Date(),
        },
      }
    },
    // AWS `region` and `accountId` of the S3 Access Grants Instance.
    region: '',
    accountId: '',
    // call `onAuthStateChange` when end user auth state changes 
    // to clear sensitive data from the `StorageBrowser` state
    registerAuthListener: (onAuthStateChange) => {},
  })
});

Créez ensuite un mécanisme pour échanger les jetons web JSON (JWT) de votre application web avec les informations d’identification IAM d’IAM Identity Center. Pour plus d’informations sur l’échange de jetons JWT, consultez les ressources suivantes :

Configurez ensuite un point de terminaison d’API pour gérer les demandes d’extraction d’informations d’identification. Pour valider l’échange de jetons web JSON (JWT), effectuez les opérations suivantes :

Pour échanger le jeton web JSON du fournisseur d’identité avec les informations d’identification AWS IAM, effectuez les opérations suivantes :