Un ingénieur de données doit partager des jeux de données dans Amazon S3 avec des scientifiques de données de trois départements : Finance, Marketing et Ressources Humaines. Certains jeux de données sont sensibles et ne doivent être accessibles qu'à la Finance. Comment l'ingénieur doit-il configurer l'accès à S3 pour répondre à ces exigences ?

La bonne approche consiste à utiliser un seul compartiment S3 organisé avec des préfixes (dossiers) pour les données sensibles et non sensibles. Les politiques IAM attachées aux groupes d'utilisateurs (Finance, Marketing, RH) sont le moyen le plus granulaire et le plus gérable de contrôler l'accès aux préfixes spécifiques. La Finance aura une politique lui permettant d'accéder aux deux préfixes, tandis que le Marketing et les RH auront des politiques limitant l'accès au seul préfixe non sensible. Créer un compartiment S3 pour chaque jeu de données est inefficace et difficile à gérer à grande échelle. Utiliser des ACL de compartiment est une méthode de contrôle d'accès plus ancienne et moins granulaire que les politiques de compartiment ou les politiques IAM. Les politiques de compartiment s'appliquent à l'ensemble du compartiment ou à des préfixes, mais les politiques IAM attachées aux utilisateurs/groupes sont souvent plus flexibles pour des scénarios complexes de permissions basées sur les utilisateurs. Une politique de compartiment ne peut pas facilement gérer des accès différents pour des groupes spécifiques à des sous-dossiers sans devenir très complexe.