CreateSessionotorisasi

Amazon S3 Express One Zone mendukung otorisasi AWS Identity and Access Management (AWSIAM) dan otorisasi berbasis sesi:

• Untuk menggunakan operasi API titik akhir Regional (operasi tingkat ember, atau bidang kontrol) dengan S3 Express One Zone, Anda menggunakan model otorisasi IAM, yang tidak melibatkan manajemen sesi. Izin diberikan untuk tindakan yang dilakukan secara individual. Untuk informasi selengkapnya, lihat AWS Identity and Access Management (IAM) untuk S3 Express One Zone.

• Untuk menggunakan operasi API titik akhir Zonal (operasi tingkat objek, atau bidang data), gunakan operasi CreateSession API untuk membuat dan mengelola sesi yang dioptimalkan untuk otorisasi permintaan data latensi rendah. Untuk mengambil dan menggunakan token sesi, Anda harus mengizinkan tindakan s3express:CreateSession untuk bucket direktori Anda dalam kebijakan berbasis identitas atau kebijakan bucket. Untuk informasi selengkapnya, lihat AWS Identity and Access Management (IAM) untuk S3 Express One Zone. Jika Anda mengakses S3 Express One Zone di konsol Amazon S3, melalui AWS Command Line Interface (AWS CLI), atau dengan menggunakan SDK AWS, S3 Express One Zone membuat sesi atas nama Anda.

Jika Anda menggunakan API REST Amazon S3, Anda dapat menggunakan operasi API CreateSession untuk mendapatkan kredensial keamanan sementara yang menyertakan ID kunci akses, kunci akses rahasia, token sesi, dan waktu kedaluwarsa. Kredensial sementara memberikan izin yang sama seperti kredensial keamanan jangka panjang, seperti kredensial pengguna IAM, tetapi kredensial keamanan sementara harus menyertakan token sesi.

Mode Sesi

Mode sesi mendefinisikan ruang lingkup sesi. Dalam kebijakan bucket, Anda dapat menentukan kunci kondisi s3express:SessionMode untuk mengontrol siapa yang dapat membuat sesi ReadWrite atau ReadOnly. Untuk informasi selengkapnya tentang sesi ReadWrite atau ReadOnly, lihat parameter x-amz-create-session-mode untuk CreateSession di Referensi API Amazon S3. Untuk informasi selengkapnya tentang kebijakan bucket yang akan dibuat, lihatContoh kebijakan bucket direktori untuk S3 Express One Zone.

Token Sesi

Saat Anda melakukan panggilan dengan menggunakan kredensial keamanan sementara, panggilan harus menyertakan token sesi. Token sesi dikembalikan bersama dengan kredensial sementara. Token sesi dibatasi pada bucket direktori Anda dan digunakan untuk memverifikasi bahwa kredensial keamanan valid dan belum kedaluwarsa. Untuk melindungi sesi Anda, kredensial keamanan sementara akan kedaluwarsa setelah 5 menit.

CopyObject dan HeadBucket

Kredensial keamanan sementara dibatasi pada bucket direktori tertentu dan secara otomatis diaktifkan untuk semua panggilan API operasi Zonal (tingkat objek) ke bucket direktori yang diberikan. Tidak seperti operasi API titik akhir Zonal lainnya, CopyObject dan HeadBucket tidak menggunakan otentikasi CreateSession. Semua permintaan CopyObject dan HeadBucket harus diautentikasi dan ditandatangani dengan menggunakan kredensial IAM. Namun, CopyObject dan masih HeadBucket diotorisasi oleh s3express:CreateSession, seperti operasi API titik akhir Zonal lainnya.

Untuk informasi selengkapnya, lihat CreateSession dalam Referensi API Amazon Simple Storage Service.