ECS: Vain luku -muotoinen säilön käyttöoikeusluettelo muille kuin omistajaobjektin käyttäjille, jotka eivät pysty lataamaan ladattuja objekteja

Ei-omistajaobjektin käyttäjä lisättiin säilöyn vain luku -tilassa säilön käyttöoikeusluettelon avulla.

Koska objekti ei ole säilön omistaja, objektin käyttäjä ei voi ladata objekteja, jotka objektisäilön omistajakäyttäjä on ladannut ennen säilön käyttöoikeusluettelon luomista.

Ongelman kulku on seuraava:

1. Säilö luotiin objektin omistajan käyttäjää määritettäessä.
2. Objektin omistajakäyttäjä on ladannut jotkin tiedostot säilöön.
3. Ei-omistajaobjektin käyttäjä lisättiin säilöyn vain luku -tilassa säilön käyttöoikeusluettelon avulla.
4. Yrittäessään käyttää säilöä muu kuin omistajaobjektin käyttäjä voi luetteloida ja ladata juuri ladattuja objekteja, mutta ei voi ladata objekteja, jotka on ladattu ennen vain luku -säilön käyttöoikeusluetteloa. Näemme, että objektien käyttöoikeuksia ei ole määritetty S3-selaimessa ECS-käyttöliittymän määritysten mukaisesti.

Virhe, kun ei-omistajaobjektin käyttäjä napsauttaa objektia S3-selaimella, on seuraava: (AccessDenied: Käyttö kielletty):
 

Seuraava on säilön käyttöoikeusluettelon asetukset objektin omistajakäyttäjälle (a_s3user) ja ei-omistajaobjektin käyttäjälle (a_s3test):

S3-käyttöoikeudet voidaan määrittää säilö- tai objektitasolla. ECS noudattaa samoja periaatteita kuin AWS S3 – riippuen käytännön tyypistä. Se määrittää säilötasolla tai objektitasolla sallittujen toimintojen tyypin.

1. Kun READ- ja READ-käyttöoikeusluettelo myönnetään ECS-säilön tasolla, ei-säilön omistaja näyttää luettelon vain säilön objekteista. Ei-säilön omistaja ei voi ladata tietoja säilöstä
2. Kun objektia kirjoitetaan säilöön, vain objektin kirjoittavalla käyttäjällä on lukuoikeus. Jotta muut käyttäjät voivat lukea objekteja, omistajan on nimenomaisesti myönnettävä käyttäjille käyttöoikeus.
3. Jos haluat myöntää luvan muille kuin säilön omistajille, meidän on käytettävä S3-säilökäytäntöjä 

ACL-käyttöoikeudet, jotka voidaan määrittää, ovat seuraavassa taulukossa. Sovellettavat käyttöoikeudet määräytyvät säilön tyypin mukaan.

Taulukko 1. Kauhan käyttöoikeusluettelot

KÄYTTÖOIKEUSLUETTELO	Käyttöoikeus
Read	Käyttäjä voi luetella säilön objektit
Lue ACL	Käyttäjä voi lukea säilön käyttöoikeusluettelon
Kirjoittaa	Käyttäjä voi luoda tai päivittää minkä tahansa säilön objektin
Kirjoita ACL.	Käyttäjä voi kirjoittaa säilön käyttöoikeusluettelon
Execute	Asettaa suoritusoikeuden, kun sitä käytetään tiedostojärjestelmänä – Tällä oikeudella ei ole vaikutusta, kun objektia käytetään ECS-objektiprotokollien avulla.
Täysi hallinta	Käyttäjä voi lukea, kirjoittaa, lukea käyttöoikeusluetteloita ja kirjoittaa käyttöoikeusluetteloita. HUOMAUTUS:  Muut kuin omistajat voivat lukea, kirjoittaa, lukea ACL:ää ja kirjoittaa ACL:ää, jos lupa on myönnetty, tai voivat vain luetella objektit.
Etuoikeutettu kirjoitus	Sallii käyttäjän kirjoittaa ryhmään tai objektiin, kun käyttäjällä ei ole normaalia kirjoitusoikeutta – vaaditaan CAS-säilöille
Poisto	Sallii käyttäjän poistaa säilöjä ja objekteja – tarvitaan CAS-säilöille
None	Käyttäjällä ei ole säilön käyttöoikeuksia.

AWS tukee useita käytäntötyyppejä.  

• Käytönvalvontaluettelot (ACL) 
• Käyttäjätietoihin perustuvat käytännöt 
• Käyttöoikeuksien rajat 
• Resursseihin perustuvat politiikat 

AWS-säilön käyttöoikeusluettelon viite

Seuraavassa taulukossa luetellaan käyttöoikeusjoukot, joita Amazon S3 tukee käyttöoikeusluettelossa. ACL-käyttöoikeuksien joukko on sama objektin käyttöoikeusluettelolle ja säilön käyttöoikeusluettelolle. Kontekstista (säilön käyttöoikeusluettelo tai objektin käyttöoikeusluettelo) riippuen nämä käyttöoikeusluettelo-oikeudet myöntävät kuitenkin oikeudet tietyille säilöille tai objektitoiminnoille. Taulukossa luetellaan käyttöoikeudet ja kuvataan, mitä ne tarkoittavat objektien ja säilöjen kontekstissa.

Amazon S3 -dokumentaatio

Seuraavassa taulukossa näkyy, miten kukin käyttöoikeusluettelon käyttöoikeus yhdistetään vastaaviin käyttöoikeuskäytännön käyttöoikeuksiin. Kuten näet, käyttöoikeuskäytäntö sallii enemmän käyttöoikeuksia kuin käyttöoikeusluettelo. ACL-luetteloita käytetään ensisijaisesti luku- ja kirjoitusoikeuksien myöntämiseen tiedostojärjestelmän käyttöoikeuksien tapaan. Lisätietoja käyttöoikeusluettelon käyttämisestä on ohjeaiheessa Käytettävissä olevien käyttöoikeuskäytäntöasetusten käyttöohjeet.

Vaihtoehto 1:
Lisätietoja säilökäytäntöjen käyttämisestä on ECS:n tietojen käyttöoppaassa. Toisin kuin käyttöoikeusluettelot, jotka joko sallivat kaikki toiminnot tai eivät mitään, käyttöoikeuskäytännöt antavat tietyille käyttäjille tai kaikille käyttäjille ehdolliset ja yksityiskohtaiset oikeudet tiettyihin toimintoihin. Käytännön ehtojen avulla voidaan määrittää käyttöoikeuksia ehtoa vastaavalle objektialueelle. Tätä voidaan käyttää käyttöoikeuksien automaattiseen määrittämiseen juuri ladatuille objekteille.

Viite AWS S3:

https://docs.aws.amazon.com/AmazonS3/latest/API/API_PutObjectAcl.html
https://docs.aws.amazon.com/AmazonS3/latest/dev/example-bucket-policies.html

https://docs.aws.amazon.com/AmazonS3/latest/API/API_Operations.htmlKirjoita kohdassa UI-> Manage-Bucket>-> Edit bucket policy jotain tämän kaltaista käytäntöeditoriin: 

{
  "Version": "2012-10-17",
  "Id": "Policy1593674317613",
  "Statement": [
    {
      "Action": [
        "s3:GetObject"
      ],
      "Resource": "bucket_name/*",
      "Effect": "Allow",
      "Principal": "read-only_user",
      "Sid": "Stmt1593673962638"
    }
  ]
}

Vaihtoehto 2:
Kun käytät S3-selainta objektin omistajan kanssa, muuta todennettujen käyttäjien oikeuksia objekteille, jotka on ladattu ennen vain luku -säilön käyttöoikeusluetteloa, jotta muu kuin omistajaobjektin käyttäjä voi ladata objektin:

Jos objektin lataamisessa objektin omistajan kautta ilmenee ongelmia eikä käyttöoikeuksia sovelleta todennettuihin käyttäjiin, joilla on kirjoitusoikeudet, tutustu tietokannan artikkeliin 520711