Salut les gars.
Nous avons déjà examiné les autorisations et les stratégies de compartiment que nous pouvons appliquer
aux compartiments Amazon S3.
Mais dans cette leçon, je veux vous ramener dans la console et vous en apprendre un peu plus, car il
y a des choses qui ressortent de l'examen.
Maintenant, je suis de retour dans Amazon S3.
Maintenant, ne vous inquiétez pas si vous voyez ici plus de seaux que nous n'en avions jusqu'à présent dans le cours.
J'ai en fait enregistré cela après avoir terminé le cours parce que j'ai réalisé qu'il y avait deux choses à
venir dans l'examen dont je veux m'assurer que vous êtes au courant.
Donc ça n'a pas vraiment d'importance.
Choisissez n'importe quel seau.
Je vais choisir mon compartiment principal dct-aws-cloud-labs ici.
Et nous allons passer aux autorisations.
Et vous vous souviendrez qu'il y a quelques options ici.
Premièrement, nous pouvons bloquer l'accès public.
C'est la valeur par défaut.
Nous avons ensuite des politiques de seau sur lesquelles nous reviendrons dans un instant.
Et puis, ici, nous avons la liste de contrôle d'accès.
Maintenant, si je clique sur Liste de contrôle d'accès, disons que je vais modifier cette ACL, nous pouvons voir quelques choses.
Tout d'abord, nous pouvons appliquer notre ACL à des objets ou à l'ensemble du bucket lui-même.
Maintenant, vous verrez alors sur le côté gauche ici nous avons le bénéficiaire.
Alors, à qui pouvons-nous appliquer ces autorisations?
Maintenant, premièrement, nous avons le propriétaire du seau, puis nous avons tout le monde.
Voilà donc le public, n'importe qui dans le monde.
Nous avons alors le groupe d'utilisateurs authentifiés.
Maintenant, c'est n'importe qui qui a un compte AWS.
Ils se sont donc essentiellement authentifiés auprès d'AWS et peuvent désormais accéder à votre compartiment en fonction
des autorisations que vous attribuez ou de vos objets.
Nous avons alors le groupe de livraison de journaux S3.
Nous avons donc quelques options, mais ce n'est vraiment pas si détaillé, n'est-ce pas?
Nous pouvons également ajouter un bénéficiaire ici et créer un autre compte AWS.
Nous mettrions donc l'identifiant canonique ou l'adresse e-mail de l'utilisateur root de ce compte pour leur
donner accès.
Mais nous ne pouvons pas spécifier ici un utilisateur IAM individuel.
Nous n'avons pas la granularité que nous accordons à la politique de compartiment.
Alors allons-y maintenant et regardons les politiques de seau.
Donc, de retour dans l'onglet autorisations, faisons simplement défiler jusqu'à la politique de compartiment et cliquez sur modifier.
Maintenant, nous n'en avons pas, mais il y a quelques liens très utiles ici.
Je veux ouvrir les exemples de politiques et le générateur de politiques.
Tout d'abord, examinons les exemples de politique de compartiment.
Et ceux-ci sont utiles pour comprendre les politiques de compartiment.
Maintenant, je vais juste faire défiler vers le bas ici et ici nous avons un exemple de politique, et
celle-ci accorde des autorisations à plusieurs comptes avec des conditions supplémentaires.
En regardant cela, vous reconnaîtrez qu'il s'agit de JSON, très similaire à ce que nous utilisons dans les stratégies IAM.
Nous avons la même structure.
Nous avons une déclaration.
À l'intérieur de cela, nous avons une pièce d'identité.
Les effets dans ce cas sont autorisés.
Nous avons alors une déclaration de principe.
Désormais, le principe est l'identité réelle dans AWS à laquelle nous voulons accorder ou interdire l'accès.
Et dans ce cas, vous pouvez voir l'ARN pour un utilisateur root avec un numéro de compte et l'ARN pour un autre utilisateur root
avec un compte différent.
C'est ainsi que nous accordons des autorisations à plusieurs comptes.
Nous avons ensuite l'action, qui est l'action API spécifique, PutObject et PutObjects ACL dans cet exemple, puis
la ressource.
Voilà donc le seau lui-même.
Le / * à la fin est utile si vous souhaitez appliquer cette stratégie aux objets dans le compartiment ainsi
qu'au compartiment lui-même.
Et nous avons alors une condition et les conditions sont une autre couche de contrôle.
Dans ce cas, la condition est que l'ACL ait une lecture publique.
Nous avons ensuite quelques autres exemples ici.
Ils sont donc très utiles pour comprendre la structure des politiques de compartiment.
Et voici une autre politique de compartiment dans celle-ci est une politique de refus et elle a une condition sur les adresses IP.
Donc, ce que cela signifie, c'est que vous allez être refusé si votre adresse IP ne se trouve pas dans cette plage.
Cette plage peut donc être votre centre de données sur site à partir duquel les utilisateurs administrent AWS.
Maintenant, passons en revue et examinons le générateur de politiques.
C'est un outil vraiment utile pour générer les politiques basées sur les ressources.
Maintenant, nous allons passer au bucket, l'effet que nous allons avoir comme autorisation.
Alors maintenant, le principal, c'est l'élément qui identifie la ressource dans AWS, l'identité.
Je vais donc trouver mon ARN pour mon compte utilisateur.
Je suis dans IAM.
Je vais aller aux utilisateurs, choisir mes comptes puis copier mon ARN.
Maintenant, je peux coller cela et peut-être que je veux autoriser toutes les actions.
Bien sûr, vous pouvez choisir des services.
Nous avons actuellement mis en évidence comme S3.
Et vous avez une sélection d'actions si vous souhaitez obtenir une granularité.
Choisissons simplement tout pour cet exemple.
Et puis j'ai besoin de l'ARN de la ressource et la ressource est le seau.
Donc, de retour dans mon seau ici, je peux copier les ARN dans mon presse-papiers.
Revenez et collez-le.
Nous cliquons ensuite sur ajouter une déclaration, et c'est une déclaration pour notre politique.
Vous pouvez en ajouter d'autres ou simplement générer la politique.
Et nous y voilà. Nous avons maintenant une politique.
Et celui-ci va autoriser toutes les actions S3 sur cette ressource spécifique pour cette identité spécifique.
Maintenant, nous n'avons pas besoin d'utiliser celui-ci.
Je voulais juste vous enseigner la théorie derrière cela.
Nous n'allons donc pas ajouter cela à notre seau.
Mais j'espère que cela vous a été utile pour vous aider à comprendre comment les stratégies de compartiment sont utilisées et comment
elles sont structurées.