Octroi de l'accès à un compartiment Amazon S3

Lorsque vous créez un partage de fichiers, votre passerelle de fichiers a besoin d'un accès pour télécharger des fichiers dans votre compartiment Amazon S3 et pour effectuer des actions sur les points d'accès ou les points de terminaison du cloud privé virtuel (VPC) qu'elle utilise pour se connecter au compartiment. Pour accorder cet accès, votre passerelle de fichiers assume un rôle AWS Identity and Access Management (IAM) associé à une politique IAM qui accorde cet accès.

Le rôle requiert cette stratégie IAM avec une relation d'approbation de service de jetons de sécurité (STS). La stratégie détermine les actions que le rôle peut effectuer. En outre, votre compartiment S3 et tous les points d'accès ou points de terminaison VPC associés doivent disposer d'une politique d'accès autorisant le rôle IAM à y accéder.

Vous pouvez créer le rôle et la politique d'accès vous-même, ou votre passerelle de fichiers peut les créer pour vous. Si votre passerelle de fichiers crée la politique pour vous, celle-ci contient une liste d'actions S3. Pour plus d'informations sur les rôles et les autorisations, consultez la section Création d'un rôle pour déléguer des autorisations à un Service AWS dans le guide de l'utilisateur IAM.

L'exemple suivant est une politique de confiance qui permet à votre passerelle de fichiers d'assumer un rôle IAM.

JSON

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": "storagegateway.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Important

Storage Gateway peut assumer les rôles de service existants transmis à l'aide de l'action de iam:PassRole stratégie, mais il ne prend pas en charge les politiques IAM qui utilisent la clé de iam:PassedToService contexte pour limiter l'action à des services spécifiques.

Pour plus d’informations, consultez les rubriques suivantes dans le AWS Identity and Access Management Guide de l’utilisateur :

• IAM : transmettre un rôle IAM à un service spécifique AWS

• Octroi à un utilisateur de l'autorisation de transmettre un rôle à un AWS service

• Clés disponibles pour IAM

Si vous ne souhaitez pas que votre passerelle de fichiers crée une politique en votre nom, vous pouvez créer votre propre stratégie et l'associer à votre partage de fichiers. Pour plus d'informations sur cette étape, consultez Création d'un partage de fichiers.

L'exemple de politique suivant permet à votre passerelle de fichiers d'effectuer toutes les actions Amazon S3 répertoriées dans la politique. La première partie de l'instruction permet de toutes les actions répertoriées d'être exécutées sur le compartiment S3 nommé amzn-s3-demo-bucket. La seconde partie autorise les actions répertoriées sur tous les objets dans amzn-s3-demo-bucket.

JSON

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "s3:GetAccelerateConfiguration",
                "s3:GetBucketLocation",
                "s3:GetBucketVersioning",
                "s3:ListBucket",
                "s3:ListBucketVersions",
                "s3:ListBucketMultipartUploads"
            ],
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket",
            "Effect": "Allow"
        },
        {
            "Action": [
                "s3:AbortMultipartUpload",
                "s3:DeleteObject",
                "s3:DeleteObjectVersion",
                "s3:GetObject",
                "s3:GetObjectAcl",
                "s3:GetObjectVersion",
                "s3:ListMultipartUploadParts",
                "s3:PutObject",
                "s3:PutObjectAcl"
            ],
            "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*",
            "Effect": "Allow"
        }
    ]
}

L'exemple de politique suivant est similaire au précédent, mais permet à votre passerelle de fichiers d'effectuer les actions nécessaires pour accéder à un bucket via un point d'accès.

JSON

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "s3:AbortMultipartUpload",
                "s3:DeleteObject",
                "s3:DeleteObjectVersion",
                "s3:GetObject",
                "s3:GetObjectAcl",
                "s3:GetObjectVersion",
                "s3:ListMultipartUploadParts",
                "s3:PutObject",
                "s3:PutObjectAcl"
            ],
            "Resource": "arn:aws:s3:us-east-1:111122223333:accesspoint/TestAccessPointName/*",
            "Effect": "Allow"
        }
    ]
}

Note

Si vous devez connecter votre partage de fichiers à un compartiment S3 via un point de terminaison VPC, consultez les politiques de point de terminaison pour Amazon S3 dans le guide de l'AWS PrivateLink utilisateur.

Note

Pour les compartiments chiffrés, le partage de fichiers doit utiliser la clé du compte du compartiment S3 de destination.