Contoh kebijakan berbasis identitas untuk Amazon S3 Glacier

Secara default, pengguna dan peran tidak memiliki izin untuk membuat atau memodifikasi sumber daya S3 Glacier. Mereka juga tidak dapat melakukan tugas dengan menggunakan AWS Management Console, AWS Command Line Interface (AWS CLI), atau AWS API. Untuk memberikan izin kepada pengguna untuk melakukan tindakan di sumber daya yang mereka perlukan, administrator IAM dapat membuat kebijakan IAM. Administrator kemudian akan dapat menambahkan kebijakan IAM ke peran, dan pengguna dapat mengambil peran.

Untuk mempelajari cara membuat kebijakan berbasis identitas IAM menggunakan contoh dokumen kebijakan JSON ini, lihat Membuat kebijakan IAM dalam Panduan Pengguna IAM.

Untuk detail tentang tindakan dan jenis sumber daya yang ditentukan oleh S3 Glacier, termasuk format ARN untuk setiap jenis sumber daya, lihat Kunci tindakan, sumber daya, dan kondisi untuk Amazon S3 Glacier dalam Referensi Otorisasi Layanan.

Berikut ini adalah contoh kebijakan yang memberikan izin untuk tiga tindakan terkait kubah S3 Glacier (glacier:CreateVault, glacier:DescribeVault dan) glacier:ListVaults pada sumber daya, menggunakan Nama Sumber Daya Amazon (ARN) yang mengidentifikasi semua brankas di Wilayah. us-west-2 AWS ARN secara unik mengidentifikasi sumber daya. AWS Untuk informasi selengkapnya tentang ARN yang digunakan dengan S3 Glacier, lihat Sumber daya kebijakan untuk S3 Glacier.

      {
         "Version": "2012-10-17",
         "Statement": [
            {
               "Effect": "Allow",
               "Action": [
               "glacier:CreateVault",
               "glacier:DescribeVault",
               "glacier:ListVaults"
               ],
               "Resource": "arn:aws:glacier:us-west-2:123456789012:vaults/*"
            }
         ]
      }

Kebijakan tersebut memberikan izin untuk membuat, mencantumkan, dan mendapatkan deskripsi vauld di Wilayah us-west-2. Karakter wildcard (*) pada akhir ARN berarti pernyataan ini dapat cocok dengan nama vault.

penting

Ketika Anda memberikan izin untuk membuat vault menggunakan operasi glacier:CreateVault, Anda harus menentukan karakter wildcard (*) karena Anda tidak mengetahui nama vault hingga setelah Anda membuat vault.

Praktik terbaik kebijakan

Kebijakan berbasis identitas menentukan apakah seseorang dapat membuat, mengakses, atau menghapus sumber daya S3 Glacier di akun Anda. Tindakan ini membuat Akun AWS Anda dikenai biaya. Ketika Anda membuat atau mengedit kebijakan berbasis identitas, ikuti panduan dan rekomendasi ini:

• Mulailah dengan kebijakan AWS terkelola dan beralih ke izin hak istimewa paling sedikit — Untuk mulai memberikan izin kepada pengguna dan beban kerja Anda, gunakan kebijakan AWS terkelola yang memberikan izin untuk banyak kasus penggunaan umum. Mereka tersedia di Anda Akun AWS. Kami menyarankan Anda mengurangi izin lebih lanjut dengan menentukan kebijakan yang dikelola AWS pelanggan yang khusus untuk kasus penggunaan Anda. Untuk informasi selengkapnya, lihat Kebijakan yang dikelola AWS atau Kebijakan yang dikelola AWS untuk fungsi tugas dalam Panduan Pengguna IAM.

• Menerapkan izin dengan hak akses paling rendah – Ketika Anda menetapkan izin dengan kebijakan IAM, hanya berikan izin yang diperlukan untuk melakukan tugas. Anda melakukannya dengan mendefinisikan tindakan yang dapat diambil pada sumber daya tertentu dalam kondisi tertentu, yang juga dikenal sebagai izin dengan hak akses paling rendah. Untuk informasi selengkapnya tentang cara menggunakan IAM untuk mengajukan izin, lihat Kebijakan dan izin dalam IAM dalam Panduan Pengguna IAM.

• Gunakan kondisi dalam kebijakan IAM untuk membatasi akses lebih lanjut – Anda dapat menambahkan suatu kondisi ke kebijakan Anda untuk membatasi akses ke tindakan dan sumber daya. Sebagai contoh, Anda dapat menulis kondisi kebijakan untuk menentukan bahwa semua permintaan harus dikirim menggunakan SSL. Anda juga dapat menggunakan ketentuan untuk memberikan akses ke tindakan layanan jika digunakan melalui yang spesifik Layanan AWS, seperti AWS CloudFormation. Untuk informasi selengkapnya, lihat Elemen kebijakan JSON IAM: Kondisi dalam Panduan Pengguna IAM.

• Gunakan IAM Access Analyzer untuk memvalidasi kebijakan IAM Anda untuk memastikan izin yang aman dan fungsional – IAM Access Analyzer memvalidasi kebijakan baru dan yang sudah ada sehingga kebijakan tersebut mematuhi bahasa kebijakan IAM (JSON) dan praktik terbaik IAM. IAM Access Analyzer menyediakan lebih dari 100 pemeriksaan kebijakan dan rekomendasi yang dapat ditindaklanjuti untuk membantu Anda membuat kebijakan yang aman dan fungsional. Untuk informasi selengkapnya, lihat Validasi kebijakan IAM Access Analyzer dalam Panduan Pengguna IAM.

• Memerlukan otentikasi multi-faktor (MFA) - Jika Anda memiliki skenario yang mengharuskan pengguna IAM atau pengguna root di Anda, Akun AWS aktifkan MFA untuk keamanan tambahan. Untuk meminta MFA ketika operasi API dipanggil, tambahkan kondisi MFA pada kebijakan Anda. Untuk informasi selengkapnya, lihat Mengonfigurasi akses API yang dilindungi MFA dalam Panduan Pengguna IAM.

Untuk informasi selengkapnya tentang praktik terbaik dalam IAM, lihat Praktik terbaik keamanan dalam IAM dalam Panduan Pengguna IAM.

Menggunakan konsol S3 Glacier

Untuk mengakses konsol Amazon S3 Glacier, Anda harus memiliki set izin minimum. Izin ini harus memungkinkan Anda untuk membuat daftar dan melihat detail tentang sumber daya S3 Glacier di Anda. Akun AWS Jika Anda membuat kebijakan berbasis identitas yang lebih ketat daripada izin minimum yang diperlukan, konsol tidak akan berfungsi sebagaimana mestinya untuk entitas (pengguna atau peran) dengan kebijakan tersebut.

Anda tidak perlu mengizinkan izin konsol minimum untuk pengguna yang melakukan panggilan hanya ke AWS CLI atau AWS API. Sebagai gantinya, izinkan akses hanya ke tindakan yang sesuai dengan operasi API yang coba mereka lakukan.

Konsol S3 Glacier menyediakan lingkungan terpadu bagi Anda untuk membuat dan mengelola vault S3 Glacier. Minimal identitas IAM yang Anda buat harus diberikan izin untuk glacier:ListVaults tindakan untuk melihat konsol S3 Glacier seperti yang ditunjukkan pada contoh berikut.

         {
               "Version": "2012-10-17",
               "Statement": [
                  {
                     "Action": [
                     "glacier:ListVaults"     
                     ],
                     "Effect": "Allow",
                     "Resource": "*"
                  }
               ]
            }

AWS mengatasi banyak kasus penggunaan umum dengan menyediakan kebijakan IAM mandiri yang dibuat dan dikelola oleh. AWS Kebijakan terkelola memberikan izin yang diperlukan untuk kasus penggunaan umum sehingga Anda tidak perlu menyelidiki izin apa yang diperlukan. Untuk informasi selengkapnya, lihat Kebijakan Terkelola AWS dalam Panduan Pengguna IAM.

Kebijakan AWS terkelola berikut, yang dapat Anda lampirkan ke pengguna di akun Anda, khusus untuk S3 Glacier:

• AmazonGlacierReadOnlyAccess— Hibah hanya membaca akses ke S3 Glacier melalui. AWS Management Console

• AmazonGlacierFullAccess— Memberikan akses penuh ke S3 Glacier melalui. AWS Management Console

Anda juga dapat membuat kebijakan IAM kustom Anda sendiri untuk memberikan izin untuk tindakan dan sumber daya API S3 Glacier. Anda dapat melampirkan kebijakan kustom ini ke peran IAM kustom yang Anda buat untuk brankas S3 Glacier Anda.

Kedua kebijakan S3 Glacier AWS Managed yang dibahas di bagian berikutnya memberikan izin untuk. glacier:ListVaults

Untuk informasi selengkapnya, lihat Menambah izin untuk pengguna dalam Panduan Pengguna IAM.

Mengizinkan pengguna melihat izin mereka sendiri

Contoh ini menunjukkan cara membuat kebijakan yang mengizinkan pengguna IAM melihat kebijakan inline dan terkelola yang dilampirkan ke identitas pengguna mereka. Kebijakan ini mencakup izin untuk menyelesaikan tindakan ini di konsol atau menggunakan API atau secara terprogram. AWS CLI AWS

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Contoh Kebijakan yang Dikelola Pelanggan

Pada bagian ini, Anda dapat menemukan contoh kebijakan pengguna yang memberikan izin untuk berbagai tindakan S3 Glacier. Kebijakan ini berfungsi saat Anda menggunakan S3 Glacier REST API, Amazon SDK, atau, jika berlaku AWS CLI, konsol manajemen S3 Glacier.

catatan

Semua contoh menggunakan Region US West (Oregon) (us-west-2) dan berisi ID akun fiktif.

Contoh

• Contoh 1: Mengizinkan Pengguna Mengunduh Arsip dari Vault
• Contoh 2: Mengizinkan Pengguna Membuat Vault dan Mengonfigurasi Notifikasi
• Contoh 3: Mengizinkan Pengguna Mengunggah Arsip ke Vault Spesifik
• Contoh 4: Memberikan Izin Pengguna Penuh di Vault Spesifik

Contoh 1: Mengizinkan Pengguna Mengunduh Arsip dari Vault

Untuk mengunduh arsip, Anda memulai tugas untuk mengambil arsip terlebih dahulu. Setelah tugas pengambilan selesai, Anda dapat mengunduh data. Contoh kebijakan berikut memberikan izin untuk tindakan glacier:InitiateJob untuk memulai tugas (yang memungkinkan pengguna mengambil arsip atau inventaris vault dari vault), dan izin untuk tindakan glacier:GetJobOutput untuk mengunduh data yang diambil. Kebijakan ini juga memberikan izin untuk melakukan tindakan glacier:DescribeJob sehingga pengguna bisa mendapatkan status tugas. Untuk informasi selengkapnya, lihat Memulai Tugas (POST jobs).

Kebijakan memberikan izin ini pada vault bernama examplevault. Anda bisa mendapatkan ARN vault dari konsol Amazon S3 Glacier, atau secara terprogram dengan memanggil tindakan API Menjelaskan Vault (GET vault) atau Mencantumkan Vault (GET vaults).

{
               "Version":"2012-10-17",
               "Statement": [
                  {
                     "Effect": "Allow",
                     "Resource": "arn:aws:glacier:us-west-2:123456789012:vaults/examplevault",
                     "Action":["glacier:InitiateJob",
                              "glacier:GetJobOutput",
                              "glacier:DescribeJob"] 
                  }
               ]
               }

Contoh 2: Mengizinkan Pengguna Membuat Vault dan Mengonfigurasi Notifikasi

Contoh kebijakan berikut memberikan izin untuk membuat vault di Wilayah us-west-2 seperti yang ditentukan dalam elemen Resource dan mengonfigurasi notifikasi. Untuk informasi selengkapnya tentang bekerja dengan notifikasi, lihat Mengonfigurasi Notifikasi Vault di Amazon S3 Glacier. Kebijakan ini juga memberikan izin untuk mencantumkan vault di AWS Wilayah dan mendapatkan deskripsi vault tertentu.

penting

Ketika Anda memberikan izin untuk membuat vault menggunakan operasi glacier:CreateVault, Anda harus menentukan karakter wildcard (*) dalam nilai Resource karena Anda tidak mengetahui nama vault hingga setelah Anda membuat vault.

{
               "Version":"2012-10-17",
               "Statement": [
                  {
                     "Effect": "Allow",
                     "Resource": "arn:aws:glacier:us-west-2:123456789012:vaults/*",
                     "Action":["glacier:CreateVault",
                              "glacier:SetVaultNotifications",
                              "glacier:GetVaultNotifications",
                              "glacier:DeleteVaultNotifications",
                              "glacier:DescribeVault",
                              "glacier:ListVaults"] 
                  }
               ]
               }

Contoh 3: Mengizinkan Pengguna Mengunggah Arsip ke Vault Spesifik

Contoh kebijakan berikut memberikan izin untuk mengunggah arsip ke vault spesifik di Wilayah us-west-2. Izin ini memungkinkan pengguna mengunggah arsip sekaligus menggunakan operasi API Mengunggah Arsip (POST archive) atau di sebagian menggunakan operasi API Memulai Unggahan Multipart (POST multipart-uploads).

{
               "Version":"2012-10-17",
               "Statement": [
                  {
                     "Effect": "Allow",
                     "Resource": "arn:aws:glacier:us-west-2:123456789012:vaults/examplevault",
                     "Action":["glacier:UploadArchive",
                              "glacier:InitiateMultipartUpload",
                              "glacier:UploadMultipartPart",
                              "glacier:ListParts",
                              "glacier:ListMultipartUploads",
                              "glacier:CompleteMultipartUpload"] 
                  }
               ]
               }

Contoh 4: Memberikan Izin Pengguna Penuh di Vault Spesifik

Kebijakan contoh berikut memberikan izin untuk semua tindakan S3 Glacier di vault bernama examplevault.

{
            "Version":"2012-10-17",
            "Statement": [
               {
                  "Effect": "Allow",
                  "Resource": "arn:aws:glacier:us-west-2:123456789012:vaults/examplevault",
                  "Action":["glacier:*"] 
               }
            ]
            }