Les analystes doivent lire les rapports du compartiment S3 acme-rapports, rien de plus.
- Écrivez
~/iam/lecture-rapports.json (Version 2012-10-17) : s3:ListBucket sur arn:aws:s3:::acme-rapports et s3:GetObject sur arn:aws:s3:::acme-rapports/* — aucun joker s3:* ni ressource *
- Créez la politique gérée
LectureRapports (aws iam create-policy --policy-name LectureRapports --policy-document file://lecture-rapports.json, depuis ~/iam)
- Créez le groupe
analystes, attachez-lui la politique (ARN arn:aws:iam::123456789012:policy/LectureRapports) et ajoutez l'utilisatrice nadia
- Simulez une suppression :
aws iam simulate-principal-policy --policy-source-arn arn:aws:iam::123456789012:user/nadia --action-names s3:DeleteObject --resource-arns arn:aws:s3:::acme-rapports/q3.pdf → décision → answer decision <valeur>