AWS bucket策略语句优先级顺序

Question

我试图限制用户使用我的桶策略访问我的桶。我有一组用户，他们都有一个S3FullAccess策略。我不能改变IAM中的任何东西。我只能使用我的遗愿保单。所以我想使用桶策略控制用户的访问。我把用户分成3类。

1. 管理员访问我的桶（所有访问我的桶）
2. 访问我的桶的权限有限的用户（如get-buk-策略，get-buk-位置）
3. 无法访问我的桶。（无法访问我的桶）

下面的策略是我尝试过的，但不起作用。

{
    "Version": "2012-10-17",
    "Id": "PolicyTesting",
    "Statement": [
        {
            "Sid": "0",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::<<account_id>>:user/users_with_limited_access"
            },
            "Action": [
                "s3:GetBucketPolicy",
                "s3:GetBucketLocation",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::<<my_bucket_name>>",
                "arn:aws:s3:::<<my_bucket_name>>/*"
            ]
        },
        {
            "Sid": "1",
            "Effect": "Deny",
            "NotPrincipal": {
                "AWS": "arn:aws:iam::<<account_id>>:user/admin_users"
            },
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:::<<my_bucket_name>>",
                "arn:aws:s3:::<<my_bucket_name>>/*"
            ]
        }
    ]
}

我尝试了上述策略，但只有管理员用户才能访问桶。访问权限受限的用户无法执行他们授予的操作，如get-buk-策略、get-buk-位置。他们得到一个访问拒绝异常。帮我解决这个问题。

Answer 1

您应该非常小心使用NotPrincipal。最好的做法是避免同时使用它。大多数情况下，在不使用“危险的”NotPrincipal的情况下，很容易实现相同的功能（策略语义）。

我认为您最好创建特定的IAM角色，并将它们分配给您希望允许访问S3 bucket的相应用户组。在此之后，使用主体“*”和aws:userId或aws:PrincipalArn的显式Deny阻止对bucket的所有其他访问。

看看这篇文章了解更多细节https://levelup.gitconnected.com/how-i-locked-the-whole-company-out-of-an-amazon-s3-bucket-1781de51e4be

最好的，Stefan

Answer 2

AWS IAM策略中没有优先级顺序。请参考此处的策略评估逻辑。

AWS强制代码评估帐户中应用于请求的所有策略。如果代码发现哪怕是一个应用的显式拒绝，代码将返回最终的拒绝决定。

当前策略拒绝除管理员用户以外的所有用户执行任何S3操作。因此users_with_limited_access无法执行授予的操作。

请使用适当的负责人更新您的政策（根据您问题中的评论），并参考以下更新的政策使其生效。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "1",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111111111111:user/s3-limited-access-user"
            },
            "Action": [
                "s3:GetBucketPolicy",
                "s3:GetBucketLocation",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::example-bucket",
                "arn:aws:s3:::example-bucket/*"
            ]
        },
        {
            "Sid": "2",
            "Effect": "Deny",
            "Principal": {
                "AWS": "arn:aws:iam::111111111111:user/s3-no-access-user"
            },
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:::example-bucket",
                "arn:aws:s3:::example-bucket/*"
            ]
        },
        {
            "Sid": "3",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111111111111:user/admin-user"
            },
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:::example-bucket",
                "arn:aws:s3:::example-bucket/*"
            ]
        }
    ]
}