问题标签 [amazon-iam]

我们之前讨论过SSO。考虑到最近的新发展，我想重新加强与定义要求的对话。

在过去的一周里，我一直在进行市场调查，以寻找以下关键问题的答案：

该项目应该是：

要求

• Web 应用程序的 SSO 解决方案。
• 集成到现有开发的产品中。
• 具有基于策略的密码安全性（长度、复杂性、持续时间和 co）
• 可以使用 Web 界面管理安全策略。
• 可定制的用户界面（密码提示和 co. 屏幕）。
• 高度可用 (99.9%)
• 可扩展。
• 在红帽 Linux 上运行。

很高兴有

• 包含用户组和角色。
• 用 Java 编写。
• 自由软件（开源）解决方案。

到目前为止，没有一个解决方案是“杀手级选择”，这让我认为我将使用几个项目（OWASP、AcegiSecurity + X??）因此进行了讨论。

我们是提供前端和后端应用程序套件的 ISV。前端被分成几个模块，这些模块应该作为自治单元，从客户端的角度来看，他使用“应用程序”——这导致了这个重新分级 SSO 的讨论。

我希望人们分享他们关于适当解决方案的经验和想法。

一些解决方案很有趣

• 中国科学院
• Sun OpenSSO 企业版
• JBoss 身份 IDM
• 约索
• Tivoli Access Manager for Enterprise Single Sign-On

或者更笼统地说这个列表

谢谢你，马克西姆。

我一直在尝试安装 IAM 或 m2eclipse，但没有成功。他们都需要 org.eclipse.team.cvs.ssh 包，但 Eclipse Helios 抱怨找不到存储库。我一直在尝试安装那个单一的捆绑包，但没有成功。

我选择“Helios - http://download.eclipse.org/releases/helios ”存储库并搜索“cvs”。这将返回“Eclipse CVS 客户端”。然后我尝试安装它。Eclipse 说它已经安装，所以它只是要更新已安装软件的列表。当我单击完成时，出现以下错误：

有任何想法吗？

是否可以使用不同账户下的新 Amazon AIM API 向用户设置公开 Amazon S3 账户存储桶（由 ACL 设置共享）？

当与属于单个账户的用户和对象相关时，我能够创建有效的 IAM 策略。但是，当涉及两个不同的帐户时，这似乎不再有效 - 尽管帐户 2 能够直接访问帐户 1 的存储桶。

示例政策是：

在这种情况下，AIM 用户能够列出 test.doom 存储桶（由同一 AWS 账户拥有）而不是“test1234.doom”存储桶（由不同的 AWS 账户拥有）。尽管一个帐户具有正确的 ACL 权限来访问另一个存储桶，但仍然如此。

我有一个组，并且我已将以下策略应用于该组。我向组中添加了一个用户并为该用户创建了访问密钥。我可以从“mybucket”中获取，但无法放入“mybucket”。当我尝试放置时，我得到“拒绝访问”。谁能告诉我我做错了什么。请告诉我。

编辑：有人让我说明政策的目标。我只想“允许”对指定存储桶的组的 PUT 和 GET 权限。对于未指定的所有资源（NotResource），我想明确地“拒绝”该组的所有其他权限。我基于 AWS 发布的一篇文章添加了明确的“拒绝”，该文章表明这​​样做是一种好习惯。

是否可以设置可以使用 IAM 以及使用 PHP SDK 访问存储在亚马逊 S3 上的某些文件的用户？

提前致谢！

使用 STS 创建的联合用户是否存在规范用户 ID？使用 boto 时，我需要一个规范的用户 ID 来授予对存储桶的权限。

这是我的代码的快速浏览：

1. 我已经使用 boto 的 STS 模块（使用“主”帐户）成功创建了临时凭据，这给了我回报：

   • federated_user_arn
   • federated_user_id
   • 打包策略大小
   • 访问密钥
   • 密钥
   • session_token
   • 到期

2. 然后我使用 boto 创建存储桶：

   bucket = self.s3_connection.create_bucket('%s_store' % (app_id))

3. 现在我想授予权限，我在 boto 中有两个选择：

   add_email_grant（权限，email_address，recursive=False，headers=None）

   add_user_grant（权限，user_id，recursive=False，headers=None，display_name=None）

第一种方法不是一个选项，因为联合用户没有附加电子邮件，所以我看第二种。这里的第二个参数（“userid”）是“与您授予权限的 AWS 账户关联的规范用户 ID”。但我似乎无法为联合用户找到一种方法。

联合用户是否存在规范用户 ID？我是否忽略了一种更简单的向联合用户授予权限的方法？

我有一个用户 foo 具有以下权限（它不是任何组的成员）：

然而，在我授予经过身份验证的用户的完全访问权限（这可能适用于任何人）之前，该用户似乎无法上传或执行大部分操作。这仍然不允许用户更改权限，因为boto在尝试执行时会在上传后抛出错误 do key.set_acl('public-read')。

理想情况下，该用户将拥有对存储桶的完全访问权限，bar而没有其他权限，我做错了什么？

这实际上是一个两部分的问题：

我在“Grantee”下拉列表中看到一些用户在 AWS 控制台中编辑 S3 权限。

1. 这些用户来自哪里？
2. 我怎样才能删除它们？

他们不在 IAM，所以我不确定他们来自哪里。

我创建了一个对 S3 对象具有只读访问权限的组，然后在该组中添加了一个新用户。

我无法理解文件的 url 是什么。到目前为止，我有链接：

我是否需要通过某种方式id让key该组中的人获得访问权限？这些参数是什么，我在哪里可以找到值？

通过 AWS Identity and Access Management，我在我的 CTO 的 AWS 账户上有一个用户账户（他有一些钱）。

我想使用这个 IAM 用户帐户来设置我自己的实例来 ssh 到它并运行一些 BeautifulSoup python 脚本。

但是，按照本教程，当到达我需要进入安全凭证页面的部分时，我无法访问此页面，并且我被告知我没有查看它的权限。

我向 IAM 经理检查了我的权限，并且我拥有管理权限，这是可能的最高权限（在我看来）。

我可以做些什么来获得这个 X.509 证书？