S3存储桶策略和IAM角色冲突

Question

我试图使用S3存储桶策略提供对存储桶的一般访问，同时也允许使用角色策略对角色进行特定访问。Lambda函数使用该角色来处理桶中的对象。它在第一个障碍处被阻止了——它无法获取前缀为“incoming/”的任何内容，即使在角色策略中允许，但在bucket策略中没有明确拒绝。

角色策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowBucketPut",
            "Effect": "Allow",
            "Action": [
                "s3:PutObject"
            ],
            "Resource": "arn:aws:s3:::bucket-name/*"
        },
        {
            "Sid": "AllowIncomingGetDelete",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:DeleteObject"
            ],
            "Resource": "arn:aws:s3:::bucket-name",
            "Condition": {
                "StringLike": {
                    "s3:prefix": "incoming/*"
                }
            }
        }
    ]
}

注意：我还尝试删除该条件并将资源更改为“arn:aws:s3:：：bucket-name/including*”，这似乎只改变了策略模拟器的行为。另一个注意事项：从带有“incoming/*”前缀的bucket中获取在模拟器中确实有效，只是在实践中不起作用。

我没有删除以下存储桶策略中的任何语句，因为我不确定可能相关的内容。IP地址已被省略。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowPublicList",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucket-name",
            "Condition": {
                "StringLike": {
                    "s3:prefix": "public*"
                }
            }
        },
        {
            "Sid": "AllowPublicGet",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::bucket-name/public*"
        },
        {
            "Sid": "AllowPrivateList",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucket-name",
            "Condition": {
                "StringLike": {
                    "s3:prefix": "private*"
                },
                "IpAddress": {
                    "aws:SourceIp": [
                        "..."
                    ]
                }
            }
        },
        {
            "Sid": "AllowPrivateGet",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::bucket-name/private*",
            "Condition": {
                "IpAddress": {
                    "aws:SourceIp": [
                        "..."
                    ]
                }
            }
        },
        {
            "Sid": "AllowIncomingPut",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::bucket-name/incoming*",
            "Condition": {
                "IpAddress": {
                    "aws:SourceIp": [
                        "..."
                    ]
                }
            }
        }
    ]
}

为文字墙道歉。

我不明白为什么我的角色不能获得前缀为“incoming/”的对象。

Lambda函数在执行以下操作时获得403拒绝访问:

S3.download_file(bucket, key, localfile)

Answer 1

您能否尝试将以下语句添加到存储桶策略中？

    {
        "Sid": "AllowIncomingGet",
        "Effect": "Allow",
        "Principal": {
            "AWS": "*"
        },
        "Action": "s3:GetObject",
        "Resource": "arn:aws:s3:::bucket-name/incoming/*",
        "Condition": {
            "IpAddress": {
                "aws:SourceIp": [
                    "..."
                ]
            }
        }
    }

Answer 2

根据文档(http://docs . AWS . Amazon . com/Amazon S3/latest/dev/Amazon-S3-policy-keys . html)，< code>s3:prefix条件仅适用于< code>s3:ListBucket API，以强制调用方在ListBucket操作上指定前缀。这似乎不适用于< code>GetObject API调用。

因此，您的Allow在GetObject上使用条件s3:prefix==不会匹配任何GET（Object）请求（因为这些请求不包含策略键“s3:prefix”！），因此您实际上不允许在Role策略中使用这些请求。由于您似乎也不允许桶策略上的请求，而且任何地方都没有Deny语句，因此您的Lambda代码被隐式拒绝。

您应该使用< code>Resource来代替，正如您提到的，您已经在策略模拟器上进行了尝试:< code > " Resource ":" arn:AWS:S3:::bucket-name/incoming/* " 。

此外，您可能有理由像您那样指定策略，但这似乎有点不寻常——通常，S3相关策略上的＜code＞“Resource”＜/code＞元素，当您想要描述前缀时，将类似于＜code＞。。。传入/*，而不仅仅是。。。传入*。这可以防止一些意外的结果。例如，假设您有一个名为incoming/ 的“文件夹”，然后您创建了一个称为incomingtopsecret/ 的文件夹。按照您编写策略的方式，您将授予对这两个前缀的访问权限！但同样，如果不真正了解环境的具体细节，很难说出你真正需要什么。我只是想确保你（以及其他阅读本文的人）知道这个微妙（但重要）的细节！

根据你给出的描述，这就是我能想到的。如果您尝试了这些更改，但仍然不起作用，请使用您尝试过的新政策相应地更新您的问题。祝你好运！