Choisir une source d’identifiants

La source d’identifiants détermine comment S3Client obtient les clés qui servent à signer les requêtes de ce compte.

Un compte utilise une seule source à la fois. Les trois sources fonctionnent aussi avec un endpoint compatible S3, à condition que les identifiants soient reconnus par ce service. Le préréglage de fournisseur ne détermine pas la source et ne donne aucune permission.

Les identifiants autorisent les actions selon les permissions accordées sur le service. Un test de connexion réussi ne prouve pas que vous pouvez écrire, supprimer ou modifier les propriétés des objets.

Ouvrir les réglages#

Avant de changer de source, préparez les identifiants de remplacement. Passer de Stored credentials à une source AWS supprime les secrets enregistrés pour ce compte lors de la sauvegarde ; S3Client demande confirmation. Le changement ne révoque pas les clés sur le service et ne modifie pas les fichiers AWS.

1. Dans la fenêtre principale, choisissez File > Accounts….
2. Sélectionnez le compte et cliquez sur Edit…, ou double-cliquez sur sa ligne. Pour un nouveau compte, utilisez New…, choisissez le fournisseur et cliquez sur OK.
3. Si les secrets enregistrés sont verrouillés, saisissez le mot de passe maître lorsque S3Client le demande.
4. Dans Account, ouvrez l’onglet Credentials.

Les étapes ci-dessous modifient le compte ouvert. Cliquez sur OK dans Account pour les enregistrer ; Cancel abandonne les modifications.

Saisir des clés permanentes ou temporaires#

Obtenez les clés auprès du service ou de votre administrateur. Access Key ID est l’identifiant de clé d’accès, pas le numéro de compte à douze chiffres du champ Account ID.

1. Sous Credential source, sélectionnez Stored credentials.
2. Saisissez Access Key ID.
3. Saisissez Secret Access Key.
4. Pour des identifiants temporaires, cochez Use temporary credentials et saisissez Session Token, fourni avec les deux clés. Pour des clés permanentes, laissez cette option décochée.
5. Cliquez sur Test connection, consultez le résultat, puis cliquez sur OK pour enregistrer.

Les deux clés sont obligatoires. Session Token devient disponible lorsque Use temporary credentials est coché ; le jeton est alors obligatoire. Lorsque cette option est décochée, le champ est désactivé et son contenu n’est pas enregistré. S3Client retire les espaces en début et en fin des champs. Les secrets sont masqués pendant la saisie.

S3Client ne renouvelle pas les clés temporaires saisies ici. Lorsque leur session expire, remplacez ensemble les deux clés et le jeton par un nouvel ensemble valide. L’éditeur ne propose pas de champ pour saisir leur date d’expiration.

Utiliser un profil AWS#

Le profil doit être configuré sur l’ordinateur qui exécute S3Client. Les noms sont lus dans les fichiers partagés AWS config et credentials. Leur emplacement habituel est %USERPROFILE%\.aws\ sous Windows et ~/.aws/ sur les autres systèmes. AWS_CONFIG_FILE et AWS_SHARED_CREDENTIALS_FILE permettent de changer ces chemins. Voir les emplacements des fichiers AWS.

1. Dans Credentials, sélectionnez AWS profile.
2. Choisissez un nom dans Profile, ou saisissez son nom exact, par exemple default.
3. Si vous venez de créer ou modifier le profil, cliquez sur Reload profiles. S3Client relit les deux fichiers AWS et utilise leur nouvelle configuration pour les prochains chargements d’identifiants. Cette commande n’ouvre pas de session SSO ou Login.
4. Préparez la session externe si le profil en dépend, comme expliqué ci-dessous.
5. Cliquez sur Test connection, puis sur OK pour enregistrer.

The configured profile was not found. It can still be saved. indique que le nom ne figure pas dans les fichiers lus. Vous pouvez enregistrer ce nom pour préparer une configuration sur un autre ordinateur. Le profil devra être disponible lorsque S3Client l’utilisera. AWS profiles could not be loaded: signale un échec du chargement ; les détails sont aussi accessibles dans l’infobulle.

Le profil fournit les identifiants, pas les endpoints de navigation de S3Client. Réglez la région et l’endpoint S3 dans les connexions du compte.

Utiliser la chaîne AWS#

Dans Credentials, sélectionnez AWS default credential chain, puis utilisez Test connection et enregistrez avec OK. Aucun autre champ n’est requis dans cet onglet.

S3Client consulte les sources dans cet ordre et retient la première qui fournit des identifiants :

1. Les variables d’environnement AWS_ACCESS_KEY_ID, AWS_SECRET_ACCESS_KEY et, pour une session temporaire, AWS_SESSION_TOKEN.
2. Le profil partagé choisi par AWS_DEFAULT_PROFILE, sinon AWS_PROFILE, sinon default.
3. Le rôle avec identité web, configuré notamment par AWS_ROLE_ARN et AWS_WEB_IDENTITY_TOKEN_FILE.
4. Le cache de session SSO du profil.
5. Le cache de session Login du profil.
6. Les identifiants de conteneur, notamment ECS, si un endpoint d’identifiants de conteneur est configuré.
7. Sinon, les identifiants du rôle d’instance EC2, sauf si AWS_EC2_METADATA_DISABLED=true.

Des clés présentes dans l’environnement peuvent donc être choisies avant le profil attendu. Pour imposer un profil, utilisez AWS profile. Les variables doivent être accessibles au processus S3Client ; après avoir changé l’environnement de lancement, redémarrez l’application.

Préparer une session externe#

S3Client utilise les caches AWS existants et n’ouvre pas de procédure de connexion interactive. Pour un profil IAM Identity Center, initialisez ou renouvelez la session dans un terminal avec :

aws sso login --profile mon-profil

Pour un profil Login, exécutez aws login --profile mon-profil, en remplaçant mon-profil par le nom choisi dans S3Client. Ces commandes nécessitent une installation AWS CLI qui les prend en charge. Suivez la connexion par AWS CLI pour préparer le profil et son cache.

Un profil de rôle nécessite une source d’identifiants valide. Un profil utilisant credential_process nécessite un processus exécutable dans l’environnement de S3Client. L’application ne propose pas de saisie interactive MFA pour ces sources. Les identifiants peuvent être renouvelés automatiquement tant que leur source ou le cache de session le permet. Si la session ne peut plus être renouvelée, reconnectez-vous avec l’outil externe. Après cette connexion, relancez Test connection. Si vous utilisez AWS profile, Reload profiles permet aussi de recharger sa configuration avant le test.

Sous Windows, S3Client limite l’exécution de credential_process à 30 secondes et arrête le processus ainsi que ses descendants si ce délai est dépassé. Cette limite n’est pas le délai total du test de connexion.

Sous Windows, les requêtes HTTPS distantes des sources AWS suivent les réglages réseau et proxy de S3Client. Les services locaux de métadonnées sont contactés directement, sans proxy ; les points de terminaison HTTP distants d’identifiants sont refusés. Les processus externes possèdent leurs propres réglages réseau.

Tester et reconnaître une expiration#

Test connection charge la source choisie et effectue une requête de lecture S3 avec les réglages actuels, même non enregistrés. Cliquez sur Details… pour ouvrir Connection test et lire les détails, ainsi que la date d’expiration lorsqu’elle est connue. Ces informations sont aussi accessibles en survolant le résultat. Le test ne sauvegarde pas le compte. Son périmètre et les erreurs réseau sont décrits dans Ajouter et gérer les comptes.