示例 3：桶拥有者授予不属于自己的对象的权限

1. 确保您有两个 Amazon Web Services 账户，并且每个账户都有一个管理员，如前面部分的表中所示。

   1. 根据需要注册 Amazon Web Services 账户。

   2. 使用账户 A 凭证登录 IAM 控制台，然后执行以下操作以创建管理员用户：

      • 创建用户 AccountAadmin 并记下安全凭证。有关添加用户的更多信息，请参阅 IAM 用户指南中的在您的 Amazon Web Services 账户中创建 IAM 用户。

      • 通过附加一个授予完全访问权限的用户策略来向 AccountAadmin 授予管理员权限。有关说明，请参阅《IAM 用户指南》中的管理 IAM policy。

      • 在 IAM 控制台 Dashboard (控制面板) 中，记下 IAM User Sign-In URL (IAM 用户登录 URL)。此账户中的用户必须在登录 Amazon Web Services Management Console 时使用此 URL。有关更多信息，请参阅 IAM 用户指南中的用户如何登录您的账户。

   3. 使用账户 B 凭证重复上一个步骤，然后创建管理员用户 AccountBadmin。

2. 设置 Amazon CLI 或 Tools for Windows PowerShell。请务必保存管理员凭证，如下所示：

   • 如果使用 Amazon CLI，请在配置文件中创建两个配置文件 AccountAadmin 和 AccountBadmin。

   • 如果使用 Tools for Windows PowerShell，请确保将用于会话的凭证存储为 AccountAadmin 和 AccountBadmin。

   有关说明，请参阅 设置用于示例演练的工具。

1. 在 Amazon S3 控制台中创建一个桶。此练习假设该桶在美国东部（弗吉尼亚北部）区域创建，名称为 DOC-EXAMPLE-BUCKET1。

   有关说明，请参阅 创建桶。

2. 在 IAM 控制台中，创建用户 Dave。

   有关说明，请参阅 IAM 用户指南中的创建 IAM 用户（控制台）。

3. 记下 Dave 的凭证。

4. 在 Amazon S3 控制台中，将以下桶策略附加到 DOC-EXAMPLE-BUCKET1 桶。有关说明，请参阅 使用 Amazon S3 控制台添加桶策略。按照这些步骤添加桶策略。有关如何查找账户 ID 的信息，请参阅查找您的 Amazon Web Services 账户 ID。

   该策略将向账户 B 授予 s3:PutObject 和 s3:ListBucket 权限。该策略还对用户 Dave 授予 s3:GetObject 权限。

   {
      "Version": "2012-10-17",
      "Statement": [
         {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Principal": {
               "AWS": "arn:aws:iam::AccountB-ID:root"
            },
            "Action": [
               "s3:PutObject",
               "s3:ListBucket"
            ],
            "Resource": [
               "arn:aws:s3:::DOC-EXAMPLE-BUCKET1/*",
               "arn:aws:s3:::DOC-EXAMPLE-BUCKET1"
            ]
         },
         {
            "Sid": "Statement3",
            "Effect": "Allow",
            "Principal": {
               "AWS": "arn:aws:iam::AccountA-ID:user/Dave"
            },
            "Action": [
               "s3:GetObject"
            ],
            "Resource": [
               "arn:aws:s3:::DOC-EXAMPLE-BUCKET1/*"
            ]
         }  
      ]
   }

使用 Amazon CLI

1. 使用 put-object CLI 命令上传对象。该命令中的 --body 参数指示要上传的源文件。例如，如果该文件在 Windows 计算机上的 C: 驱动器中，您应指定 c:\HappyFace.jpg。--key 参数提供对象的键名。

   aws s3api put-object --bucket DOC-EXAMPLE-BUCKET1 --key HappyFace.jpg --body HappyFace.jpg --profile AccountBadmin

2. 在对象 ACL 中添加一个授权，向桶拥有者授予对于对象的完全控制权。有关如何查找规范用户 ID 的信息，请参阅 查找 Amazon Web Services 账户的规范用户 ID。

   aws s3api put-object-acl --bucket DOC-EXAMPLE-BUCKET1 --key HappyFace.jpg --grant-full-control id="AccountA-CanonicalUserID" --profile AccountBadmin

使用 Tools for Windows PowerShell

1. 使用 Tools for Windows PowerShell 命令的 Write-S3Object 工具上传对象。

   Write-S3Object -BucketName DOC-EXAMPLE-BUCKET1 -key HappyFace.jpg -file HappyFace.jpg -StoredCredentials AccountBadmin

2. 在对象 ACL 中添加一个授权，向桶拥有者授予对于对象的完全控制权。

   Set-S3ACL -BucketName DOC-EXAMPLE-BUCKET1 -Key HappyFace.jpg -CannedACLName "bucket-owner-full-control" -StoredCreden

使用 Amazon CLI

1. 将用户 Dave 的凭证添加到 Amazon CLI 配置文件，并创建新的配置文件 UserDaveAccountA。有关更多信息，请参阅设置用于示例演练的工具。

   [profile UserDaveAccountA]
   aws_access_key_id = access-key
   aws_secret_access_key = secret-access-key
   region = us-east-1

2. 运行 get-object CLI 命令，下载 HappyFace.jpg，并将它保存在本地。您可以通过添加参数 --profile 为用户 Dave 提供凭证。

   aws s3api get-object --bucket DOC-EXAMPLE-BUCKET1 --key HappyFace.jpg Outputfile.jpg --profile UserDaveAccountA

使用 Tools for Windows PowerShell

1. 将用户 Dave 的 Amazon 凭证以 UserDaveAccountA 的身份保存到持久存储。

   Set-AWSCredentials -AccessKey UserDave-AccessKey -SecretKey UserDave-SecretAccessKey -storeas UserDaveAccountA

2. 运行 Read-S3Object 命令，下载 HappyFace.jpg 对象，并将它保存在本地。您可以通过添加参数 -StoredCredentials 为用户 Dave 提供凭证。

   Read-S3Object -BucketName DOC-EXAMPLE-BUCKET1 -Key HappyFace.jpg -file HappyFace.jpg  -StoredCredentials UserDaveAccountA

1. 完成测试之后，您可以执行以下操作来进行清理。

   1. 使用账户 A 凭证登录 Amazon Web Services Management Console，并执行以下操作：

      • 在 Amazon S3 控制台中，删除附加到 DOC-EXAMPLE-BUCKET1 的桶策略。在桶 Properties（属性）中，删除 Permissions（权限）部分中的策略。

      • 如果该桶是为此练习而创建的，请在 Amazon S3 控制台中删除对象，然后删除桶。

      • 在 IAM 控制台中，删除 AccountAadmin 用户。

2. 使用账户 B 凭证登录 Amazon Web Services Management Console。在 IAM 控制台中，删除用户 AccountBadmin。