ECS: ACL del bucket read-only per l'utente dell'oggetto non proprietario che non è in grado di scaricare gli oggetti caricati

L'utente dell'oggetto non proprietario è stato aggiunto come read-only al bucket utilizzando un ACL del bucket.

Un utente dell'oggetto non proprietario del bucket non è in grado di scaricare gli oggetti caricati dall'utente proprietario del bucket di oggetti prima della creazione dell'ACL del bucket.

Il flusso del problema è il seguente:

1. Il bucket è stato creato con l'utente proprietario dell'object assegnato.
2. Alcuni file sono stati caricati nel bucket dall'utente proprietario dell'object.
3. L'utente dell'oggetto non proprietario è stato aggiunto come read-only al bucket utilizzando un ACL del bucket.
4. Quando si tenta di accedere al bucket, l'utente dell'oggetto non proprietario può elencare e scaricare gli oggetti appena caricati, ma non gli oggetti caricati prima dell'ACL del bucket read-only. Si può notare che i diritti utente sugli oggetti non sono impostati sul browser S3 come da configurazione nell'interfaccia utente di ECS.

L'errore quando l'utente di oggetti non proprietario fa clic su un oggetto utilizzando il browser S3 è il seguente: (Accesso negato: Accesso negato):
 

Di seguito è riportata la configurazione degli ACL del bucket per l'utente proprietario dell'oggetto (a_s3user) e l'utente dell'oggetto non proprietario (a_s3test):

Le autorizzazioni S3 possono essere impostate a livello di bucket o oggetto. ECS aderisce agli stessi principi di AWS S3, a seconda del tipo di policy applicata. Determina il tipo di operazioni consentite a livello di bucket o di oggetto.

1. Quando READ e READ ACL vengono concessi a livello di bucket ECS, il proprietario non bucket deve elencare solo gli oggetti nel bucket, il proprietario non bucket non può scaricare i dati dal bucket
2. Quando si scrive un oggetto in un bucket, solo l'utente che scrive l'oggetto dispone dell'autorizzazione di lettura. Affinché altri utenti possano leggere gli oggetti, il proprietario deve concedere esplicitamente l'autorizzazione agli utenti.
3. Per concedere l'autorizzazione ai proprietari non di bucket, è necessario utilizzare le policy dei bucket S3 

Le autorizzazioni ACL che possono essere assegnate sono fornite nella tabella seguente. Le autorizzazioni applicabili dipendono dal tipo di bucket.

Tabella 1. ACL di bucket

ACL	Autorizzazione
Read	Consente all'utente di elencare gli oggetti nel bucket
Read ACL	Consente all'utente di leggere l'ACL del bucket
Write	Consente all'utente di creare o aggiornare qualsiasi oggetto nel bucket
ACL di scrittura.	Consente all'utente di scrivere l'ACL per il bucket
Execute	Imposta l'autorizzazione di esecuzione quando si accede come file system: questa autorizzazione non ha alcun effetto quando si accede all'oggetto utilizzando i protocolli dell'oggetto ECS.
Full Control	Consente all'utente di leggere, scrivere nonché leggere e scrivere ACL. NOTA:  I non proprietari possono leggere e scrivere gli ACL di lettura e gli ACL di scrittura se è stata concessa l'autorizzazione o possono elencare solo gli oggetti.
Privileged Write	Consente all'utente di eseguire scritture in un bucket o un oggetto quando non dispone della normale autorizzazione di scrittura: richiesta per i bucket CAS
Delete	Consente all'utente di eliminare bucket e oggetti: obbligatorio per i bucket CAS
None	L'utente non dispone di privilegi sul bucket.

AWS supporta più tipi di policy.  

• ACL (Access Control List) 
• Policy basate sull'identità 
• Limiti delle autorizzazioni 
• Policy basate sulle risorse 

Riferimento ACL bucket AWS

La tabella seguente elenca il set di autorizzazioni supportate da Amazon S3 in un ACL. Il set di autorizzazioni ACL è lo stesso per un ACL dell'oggetto e un ACL del bucket. Tuttavia, a seconda del contesto (ACL del bucket o ACL dell'oggetto), queste autorizzazioni ACL concedono autorizzazioni per operazioni su oggetti o bucket specifici. La tabella elenca le autorizzazioni e ne descrive il significato nel contesto di oggetti e bucket.

Documentazione di Amazon S3

La tabella seguente mostra il modo in cui ciascuna autorizzazione ACL viene mappata alle autorizzazioni delle policy di accesso corrispondenti. Come si può notare, la policy di accesso consente più autorizzazioni rispetto a un ACL. Gli ACL vengono utilizzati principalmente per concedere autorizzazioni di lettura/scrittura di base, analogamente alle autorizzazioni del file system. Per ulteriori informazioni su quando utilizzare un ACL, consultare Linee guida per l'utilizzo delle opzioni dei criteri di accesso disponibili.

Opzione 1:
Consultare la Guida all'accesso ai dati ECS per informazioni su come utilizzare le policy dei bucket. A differenza degli ACL, che consentono tutte o nessuna azione, le policy di accesso forniscono a utenti specifici o a tutti gli utenti autorizzazioni condizionali e granulari per azioni specifiche. Le condizioni delle policy possono essere utilizzate per assegnare autorizzazioni per una serie di oggetti che soddisfano la condizione. Questa opzione può essere utilizzata per assegnare automaticamente le autorizzazioni agli oggetti appena caricati.

Riferimento AWS S3:

https://docs.aws.amazon.com/AmazonS3/latest/API/API_PutObjectAcl.html
https://docs.aws.amazon.com/AmazonS3/latest/dev/example-bucket-policies.html

https://docs.aws.amazon.com/AmazonS3/latest/API/API_Operations.htmlDall'interfaccia utente-> Manage-Bucket>>- Edit bucket policy, inserire qualcosa di simile a questo nell'editor di policy: 

{
  "Version": "2012-10-17",
  "Id": "Policy1593674317613",
  "Statement": [
    {
      "Action": [
        "s3:GetObject"
      ],
      "Resource": "bucket_name/*",
      "Effect": "Allow",
      "Principal": "read-only_user",
      "Sid": "Stmt1593673962638"
    }
  ]
}

Opzione 2:
Utilizzando S3 Browser con il proprietario dell'object, modificare l'autorizzazione per Authenticated Users per gli oggetti caricati prima dell'ACL del bucket read-only per garantire che l'utente dell'oggetto non proprietario possa scaricare l'oggetto:

Se si verificano problemi durante il caricamento di un oggetto tramite il proprietario dell'oggetto e le autorizzazioni non vengono applicate agli utenti autenticati con accesso in scrittura, consultare l'articolo della Knowledge Base 520711