Esempio 2: il proprietario del bucket concede autorizzazioni per il bucket multiaccount

1. Verifica di disporre di due Account AWS con un utente amministratore ciascuno, come illustrato nella tabella della sezione precedente.

   1. Registrare un Account AWS, se necessario.

   2. Utilizzando le credenziali dell'Account A, accedere alla console IAM per creare l'utente amministratore:

      1. Crea l'utente AccountAadmin e annota le credenziali di sicurezza. Per istruzioni, consulta Creazione di un utente IAM nell'Account AWS nella Guida per l'utente di IAM.

      2. Concedere i privilegi di amministratore ad AccountAadmin allegando una policy utente che dia accesso completo. Per istruzioni, consulta Gestione di policy IAM nella Guida per l'utente di IAM.

   3. Nella console IAM, annota l'URL di accesso dell'utente IAM nella Dashboard. Tutti gli utenti dell'account devono utilizzare questo URL per accedere alla Console di gestione AWS.

      Per ulteriori informazioni, consulta In che modo gli utenti effettuano l'accesso al tuo account nella Guida per l'utente IAM.

   4. Ripeti il passaggio precedente utilizzando le credenziali dell'account B e creare l'utente amministratore AccountBadmin.

2. Imposta AWS Command Line Interface (AWS CLI) o AWS Tools for Windows PowerShell. Assicurati di salvare le credenziali dell'utente amministratore come segue:

   • Se utilizzi la AWS CLI, crea due profili, AccountAadmin e AccountBadmin, nel file di configurazione.

   • Se si utilizza AWS Tools for Windows PowerShell, assicurati di memorizzare le credenziali per la sessione come AccountAadmin e AccountBadmin.

   Per istruzioni, consulta Impostazione degli strumenti per le visite guidate.

3. Salvare le credenziali dell'utente amministratore, chiamate anche profili. È possibile utilizzare il nome del profilo anziché specificare le credenziali per ciascun comando immesso. Per ulteriori informazioni, consulta Impostazione degli strumenti per le visite guidate.

   1. Aggiungi i profili nel file delle credenziali di AWS CLI per ciascuno degli utenti amministratori, AccountAadmin e AccountBadmin, nei due account.

      [AccountAadmin]
      aws_access_key_id = access-key-ID
      aws_secret_access_key = secret-access-key
      region = us-east-1
      
      [AccountBadmin]
      aws_access_key_id = access-key-ID
      aws_secret_access_key = secret-access-key
      region = us-east-1

   2. Se si utilizza AWS Tools for Windows PowerShell, esegui il seguente comando.

      set-awscredentials –AccessKey AcctA-access-key-ID –SecretKey AcctA-secret-access-key –storeas AccountAadmin
      set-awscredentials –AccessKey AcctB-access-key-ID –SecretKey AcctB-secret-access-key –storeas AccountBadmin

1. Nella console di Amazon S3 creare un bucket. Questo esercizio presuppone che il bucket sia stato creato nella zona est della Regione AWS Stati Uniti orientali (Virginia settentrionale) e sia denominato amzn-s3-demo-bucket.

   Per istruzioni, consulta Creazione di un bucket per uso generico.

2. Caricare un oggetto campione nel bucket.

   Per istruzioni, vai su Fase 2: Carica un oggetto nel tuo bucket.

1. Collegare la seguente policy di bucket a amzn-s3-demo-bucket. La policy concede all'Account B autorizzazioni per le operazioni s3:GetLifecycleConfiguration e s3:ListBucket.

   Per istruzioni, consulta Aggiunta di una policy di bucket utilizzando la console di Amazon S3.

   JSON

   {
      "Version":"2012-10-17",		 	 	 
      "Statement": [
         {
            "Sid": "Example permissions",
            "Effect": "Allow",
            "Principal": {
               "AWS": "arn:aws:iam::111122223333:root"
            },
            "Action": [
               "s3:GetLifecycleConfiguration",
               "s3:ListBucket"
            ],
            "Resource": [
               "arn:aws:s3:::amzn-s3-demo-bucket"
            ]
         }
      ]
   }
   

2. Verifica che l'account B (e quindi il suo utente amministratore) possa eseguire le operazioni.

   • Verifica con il tasto AWS CLI

     aws s3 ls s3://amzn-s3-demo-bucket --profile AccountBadmin
     aws s3api get-bucket-lifecycle-configuration --bucket amzn-s3-demo-bucket --profile AccountBadmin

   • Verifica con il tasto AWS Tools for Windows PowerShell

     get-s3object -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBadmin 
     get-s3bucketlifecycleconfiguration -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBadmin

Testa le autorizzazioni usando il metodo AWS CLI

1. Aggiungi il profilo UserDave al file di configurazione AWS CLI. Per ulteriori informazioni sul file di configurazione, consulta Impostazione degli strumenti per le visite guidate.

   [profile UserDave]
   aws_access_key_id = access-key
   aws_secret_access_key = secret-access-key
   region = us-east-1

2. Al prompt dei comandi, immettere il seguente comando AWS CLI per verificare che Dave possa ora ottenere un elenco di oggetti dal profilo amzn-s3-demo-bucket di proprietà dell'account A. Si noti che il comando specifica il profilo UserDave.

   aws s3 ls s3://amzn-s3-demo-bucket --profile UserDave

   Dave non ha altri permessi. Quindi, se si tenta qualsiasi altra operazione, ad esempio la seguente configurazione get-bucket-lifecycle, Amazon S3 restituisce l'autorizzazione negata.

   aws s3api get-bucket-lifecycle-configuration --bucket amzn-s3-demo-bucket --profile UserDave

Testa le autorizzazioni utilizzando AWS Tools for Windows PowerShell

1. Memorizza le credenziali di Dave come AccountBDave.

   set-awscredentials -AccessKey AccessKeyID -SecretKey SecretAccessKey -storeas AccountBDave

2. Provare a utilizzare il comando List Bucket.

   get-s3object -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBDave

   Dave non ha altri permessi. Quindi, se si tenta un'altra operazione, ad esempio la seguente get-s3bucketlifecycleconfiguration-Amazon S3 restituisce Autorizzazione negata.

   get-s3bucketlifecycleconfiguration -BucketName amzn-s3-demo-bucket -StoredCredentials AccountBDave

1. Una volta terminato il test, è possibile eseguire le seguenti operazioni di pulizia:

   1. Accedere alla Console di gestione AWS (Console di gestione AWS) utilizzando le credenziali dell'Account A ed effettuare quanto segue:

      • Nella console di Amazon S3 rimuovere la policy del bucket collegata a amzn-s3-demo-bucket. Nelle Proprietà del bucket, elimina la policy nella sezione Autorizzazioni.

      • Se il bucket è stato creato per questo esercizio, nella console di Amazon S3 eliminare gli oggetti e quindi il bucket.

      • Nella Console IAM, rimuovi l'utente AccountAadmin.

2. Accedi alla Console IAM utilizzando le credenziali dell'Account B. Cancella l'utente AccountBadmin. Per istruzioni dettagliate, consulta Eliminazione di un utente IAM nella Guida all'utente IAM.