S3桶和对象访问

Question

根据我的理解，在没有给出访问权限的情况下，任何IAM用户都不能访问S3桶/对象。但是在我的用例中，我能够访问它。

我误解了S3的安全策略吗？这是我的用例我有根帐户在AWS，说根用户。这个用户创建了两个IAM用户，比如管理员和测试用户。并且root用户对两个IAM用户都给予了S3FullAccess权限。

现在我以管理员身份登录并创建了一个Bucket（比如Test）。并启用“阻止所有公共访问”。

现在有了另一个IAM用户，即使启用了“阻止所有公共访问”，我仍然能够访问测试存储桶。理想情况下，它不应该是正确的。测试用户在访问测试存储桶时应获得“拒绝访问”权限。如果我遗漏了什么，我们将非常感谢您的帮助

谢谢AWS学员

Answer 1

和根用户向两个IAM用户授予了S3FullAccess权限

这就是为什么你的两个用户都能看到桶的原因，因为他们有下面的策略与用户连接：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:*",
            "Resource": "*"
        }
    ]
}

从用户中删除此策略后，将看到以下错误：

Answer 2

对bucket的“阻止所有公共访问”指的是组织外部，而不是IAM用户。

换句话说，如果公众可以访问您的bucket，那么任何有权访问对象s3url的人都可以直接访问该对象。

您可以通过使用bucket策略来限制对bucket的访问，但是从IAM中的测试用户中删除S3FullAdminAccess更有意义。