AWS S3 模块

有关此表中信息的更多详细说明，请参阅文档中的访问权限要求。

有关 Adobe Workfront Fusion 许可证的详细信息，请参阅 Adobe Workfront Fusion 许可证。

• 使用联合连接将AWS连接到Workfront Fusion的先决条件
• 在AWS中添加Workfront Fusion作为身份提供程序
• 创建IAM角色
• 在Workfront Fusion中创建连接
• 添加与角色信任策略的连接
• 验证连接
• 故障排除

通过联合连接，Workfront Fusion无需在Fusion中创建IAM用户或存储访问密钥即可访问您的AWS帐户。
您而是要将Workfront Fusion注册为AWS帐户中的可信身份提供程序，并配置哪个单一Fusion连接允许使用特定IAM角色。 当连接运行时，Fusion会提供一个短暂的身份证明，而AWS会返回自行过期的临时凭据。 不会创建、存储或旋转任何长生命周期密钥。

使用联合连接将AWS连接到Workfront Fusion的先决条件

要创建此连接，您需要满足以下条件：

• 在AWS IAM中创建身份提供程序以及创建和编辑角色的权限。 这通常意味着策略或等效策略。 如果您没有此访问权限，请向云中的某人咨询或
  安全团队为您完成AWS步骤。
• 可在Workfront Fusion中创建连接。

在AWS中添加Workfront Fusion作为身份提供程序

此步骤可告知AWS由Workfront Fusion颁发的令牌值得信任。 每个AWS帐户执行一次此操作。 如果贵组织中的某人已添加此提供程序，请跳至创建IAM角色。

1. 登录到AWS控制台，然后转到​IAM > 身份提供程序。

2. 选择​添加提供程序。

3. 对于提供程序类型，选择​OpenID Connect。

4. 在提供程序URL中，输入以下内容，然后选择​获取指纹：

   code language-none
   https://oidc.automations.adobe.com

5. 在受众中，输入以下内容：

   code language-none
   sts.amazonaws.com

6. 选择​添加提供程序。

7. 继续创建IAM角色。

创建IAM角色

角色定义允许在您的AWS帐户中进行的连接。 您可以为每个连接创建一个角色，以便可以单独授予和撤销每个连接的访问权限。

1. 在IAM中，转到​ 角色 ​并选择​创建角色。

2. 对于受信任的实体类型，请选择​Web标识。

3. 在身份提供程序中，选择oidc.automations.adobe.com。

4. 在受众中，选择sts.amazonaws.com。

5. 选择​下一步，然后附加此连接所需的权限策略。
   仅授予连接实际使用的权限。 例如，只读取以下内容的连接：
   一个存储段不需要AmazonS3FullAccess。

6. 为角色提供一个清晰、可识别的名称。 例如：WorkfrontFusionFederatedConnection。

7. 选择​创建角色。

8. 打开您刚刚创建的角色，并从“摘要”区域复制其ARN。 它看起来像这样：arn:aws:iam::123456789012:role/WorkfrontFusionFederatedConnection

9. 继续在Workfront Fusion中创建连接。

在Workfront Fusion中创建连接

1. 在模块的连接设置屏幕中，选择联合连接类型。
2. 输入您在创建IAM角色中复制的角色ARN。
3. 选择​创建。
   Workfront Fusion显示三个值。 您可以在下一个过程中使用它们。

1. 保持此面板打开并复制主题值。

   note
   NOTE
   不要关闭面板或选择“取消”。 在完成其余步骤之前，连接不会完成。 如果关闭面板，则必须删除连接并重新启动，因为新连接会收到新主题。

2. 继续将连接添加到角色的信任策略。

添加与角色信任策略的连接

在完成此过程之前，角色通常信任Workfront Fusion，但尚不允许此特定连接使用它。

1. 在新的浏览器选项卡中，返回AWS控制台并打开您创建的角色。

2. 选择​ 信任关系 ​选项卡，然后选择​编辑信任策略。

3. 将策略替换为以下内容，并替换您自己的值：

   • 将123456789012替换为您的AWS帐户ID
   • 将sub值替换为您从Workfront Fusion复制的主题。

   code language-none
   { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Federated": "arn:aws:iam::123456789012:oidc-provider/oidc.automations.adobe.com" }, "Action": "sts:AssumeRoleWithWebIdentity", "Condition": { "StringEquals": { "oidc.automations.adobe.com:sub": "fusion:6e5b1c2a345bd8d1ed98b6b4f1459818:28964", "oidc.automations.adobe.com:aud": "sts.amazonaws.com" } } } ] }

4. 选择​更新策略。

5. 继续验证连接。

"oidc.automations.adobe.com:sub": [ "fusion:6e5b1c2a345bd8d1ed98b6b4f1459818:28964", "fusion:6e5b1c2a345bd8d1ed98b6b4f1459818:29011"
    ]

验证连接

1. 返回到Workfront Fusion浏览器选项卡，其中连接面板仍处于打开状态。

2. 单击​保存。

   Workfront Fusion联系AWS，后者检查信任策略并返回临时凭据。 如果一切设置正确，连接验证成功，您可以继续设置模块。
   如果验证失败，面板将保持打开状态并显示错误。 在AWS中更正问题，然后再次选择“保存”。 您不需要重新创建连接，并且主题不会更改。

从此刻起，连接将更新其自身的凭据。 没有要轮换的键，也没有您需要维护的过期项。

故障排除

要将AWS S3连接到Workfront Fusion，您必须将您的AWS帐户连接到Workfront Fusion。 为此，您首先需要在AWS IAM中创建API用户。

1. 登录到您的AWS IAM帐户。

2. 导航到​身份和访问管理 > 访问管理 > 用户。

3. 单击​添加用户。

4. 输入新用户的名称并在访问类型部分中选择​ 编程访问 ​选项。

5. 单击​直接附加现有策略，然后在搜索栏中搜索​AmazonS3FullAccess。 出现时单击它，然后单击​下一步。

6. 继续其他对话框屏幕，然后单击​创建用户。

7. 复制提供的​ 访问密钥ID ​和​访问密钥。

8. 转到Workfront Fusion并打开AWS S3模块的​ 创建连接 ​对话框。

9. 从步骤7到相应的字段输入访问密钥ID和访问密钥，然后单击​ 继续 ​建立连接。

已建立连接。 您可以继续设置模块。