Zugreifen auf S3-Daten mit den von S3 Access Grants bereitgestellten Anmeldeinformationen

Nachdem ein Gewährungsempfänger über seine Zugriffsgewährung temporäre Anmeldeinformationen erhalten hat, kann er mit diesen temporären Anmeldeinformationen Amazon-S3-API-Operationen für den Zugriff auf Ihre Daten aufrufen.

Stipendiaten können mithilfe der AWS Command Line Interface (AWS CLI), der und der AWS SDKs Amazon S3-REST-API auf S3-Daten zugreifen. Darüber hinaus können Sie die AWS Python - und Java-Plugins verwenden, um S3 Access Grants aufzurufen

Mit dem AWS CLI

Nachdem der Gewährungsempfänger seine temporären Anmeldeinformationen von S3 Access Grants erhalten hat, kann er mit diesen Anmeldeinformationen ein Profil einrichten, um die Daten abzurufen.

Informationen zur AWS CLI Installation von finden Sie unter Installation von AWS CLI im AWS Command Line Interface Benutzerhandbuch.

Um die folgenden Beispielbefehle zu verwenden, ersetzen Sie user input placeholders durch eigene Daten.

Beispiel – Einrichten eines Profils

aws configure set aws_access_key_id "$accessKey" --profile access-grants-consumer-access-profile
aws configure set aws_secret_access_key "$secretKey" --profile access-grants-consumer-access-profile
aws configure set aws_session_token "$sessionToken" --profile access-grants-consumer-access-profile

Wenn Sie den folgenden Beispielbefehl verwenden möchten, ersetzen Sie user input placeholders durch Ihre eigenen Informationen.

Beispiel – Abrufen der S3-Daten

Der Stipendiat kann das verwenden get-object AWS CLI Befehl, um auf die Daten zuzugreifen. Der Stipendiat kann auch Folgendes verwenden put-object, lsund andere AWS CLI S3-Befehle.

aws s3api get-object \
--bucket amzn-s3-demo-bucket1 \
--key myprefix \
--region us-east-2 \
--profile access-grants-consumer-access-profile

Mit dem AWS CLI

Nachdem der Gewährungsempfänger seine temporären Anmeldeinformationen von S3 Access Grants erhalten hat, kann er mit diesen Anmeldeinformationen ein Profil einrichten, um die Daten abzurufen.

Informationen zur AWS CLI Installation von finden Sie unter Installation von AWS CLI im AWS Command Line Interface Benutzerhandbuch.

Um die folgenden Beispielbefehle zu verwenden, ersetzen Sie user input placeholders durch eigene Daten.

Beispiel – Einrichten eines Profils

aws configure set aws_access_key_id "$accessKey" --profile access-grants-consumer-access-profile
aws configure set aws_secret_access_key "$secretKey" --profile access-grants-consumer-access-profile
aws configure set aws_session_token "$sessionToken" --profile access-grants-consumer-access-profile

Wenn Sie den folgenden Beispielbefehl verwenden möchten, ersetzen Sie user input placeholders durch Ihre eigenen Informationen.

Beispiel – Abrufen der S3-Daten

Der Stipendiat kann das verwenden get-object AWS CLI Befehl, um auf die Daten zuzugreifen. Der Stipendiat kann auch Folgendes verwenden put-object, lsund andere AWS CLI S3-Befehle.

aws s3api get-object \
--bucket amzn-s3-demo-bucket1 \
--key myprefix \
--region us-east-2 \
--profile access-grants-consumer-access-profile

Mit dem AWS SDKs

Dieser Abschnitt enthält Beispiele dafür, wie Stipendiaten mithilfe von auf Ihre S3-Daten zugreifen können. AWS SDKs

Java

Beispiele dafür, wie Sie S3-Daten mithilfe temporärer Anmeldeinformationen abrufen können, finden Sie unter So rufen Sie ein Objekt mithilfe des AWS SDKs und Amazon S3 S3-Codebeispiele für den AWS SDK for Java 2.x.

Mit dem AWS SDKs

Dieser Abschnitt enthält Beispiele dafür, wie Stipendiaten mithilfe von auf Ihre S3-Daten zugreifen können. AWS SDKs

Java

Beispiele dafür, wie Sie S3-Daten mithilfe temporärer Anmeldeinformationen abrufen können, finden Sie unter So rufen Sie ein Objekt mithilfe des AWS SDKs und Amazon S3 S3-Codebeispiele für den AWS SDK for Java 2.x.

Unterstützte S3-Aktionen in S3 Access Grants

Ein Gewährungsempfänger kann die von S3 Access Grants bereitgestellten temporären Anmeldeinformationen verwenden, um S3-Aktionen mit den S3-Daten durchzuführen, auf die er Zugriff hat. Im Folgenden finden Sie eine Liste der zulässigen S3-Aktionen, die ein Gewährungsempfänger ausführen kann. Welche Aktionen zulässig sind, hängt von der in der Zugriffsgewährung gewährten Berechtigungsstufe ab, entweder READ, WRITE oder. READWRITE

Anmerkung

Zusätzlich zu den unten aufgeführten Amazon S3-Berechtigungen kann Amazon S3 die AWS Key Management Service (AWS KMS) Decrypt (kms:decrypt) READ -Berechtigung oder die AWS KMS GenerateDataKey(kms:generateDataKey) WRITE -Berechtigung aufrufen. Diese Berechtigungen ermöglichen keinen direkten Zugriff auf den AWS KMS Schlüssel.

S3-IAM-Aktion	API-Aktion und -Dokument	S3-Access-Grants-Berechtigung	S3-Ressource
s3:GetObject	GetObject	READ	Object
s3:GetObjectVersion	GetObject	READ	Object
s3:GetObjectAcl	GetObjectAcl	READ	Object
s3:GetObjectVersionAcl	GetObjectAcl	READ	Object
s3:ListMultipartUploads	ListParts	READ	Object
s3:PutObject	PutObject, CreateMultipartUpload, UploadPart, UploadPartCopy, CompleteMultipartUpload	WRITE	Object
s3:PutObjectAcl	PutObjectAcl	WRITE	Object
s3:PutObjectVersionAcl	PutObjectAcl	WRITE	Object
s3:DeleteObject	DeleteObject	WRITE	Object
s3:DeleteObjectVersion	DeleteObject	WRITE	Object
s3:AbortMultipartUpload	AbortMultipartUpload	WRITE	Object
s3:ListBucket	HeadBucket, ListObjectsV2, ListObjects	READ	Bucket
s3:ListBucketVersions	ListObjectVersions	READ	Bucket
s3:ListBucketMultipartUploads	ListMultipartUploads	READ	Bucket