上传文档时拒绝访问，如何设置权限配置文件和bucket策略？

Question

我需要一点指导如何设置我的S3桶策略和/或IAM权限配置文件。我们的Rails应用程序将文件上传到桶中，并在上传后显示文档的链接。基本上，我想启用阻止所有公共访问，因为它是安全的，但从内Rails应用程序文档应该能够上传和打开时，点击一个链接。因此，我创建了一个具有以下权限配置文件的IAM用户：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::<bucket-name>",
                "arn:aws:s3:::<bucket-name>"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject",
                "s3:PutObjectAcl"
            ],
            "Resource": [
                "arn:aws:s3:::<bucket-name>/*",
                "arn:aws:s3:::<bucket-name>/*"
            ]
        }
    ]
}

然后我添加了一个桶策略，如下所示：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::<iam-user>"
            },
            "Action": "s3:*",
            "Resource": "arn:aws:s3:::<bucket-name>/*"
        }
    ]
}

对于“Action”：“s3:*”，我想我是说：这个用户可以在这个bucket上做任何事情吗？这适用于打开文档，但在上载文档时，访问被拒绝。那么，我需要做什么改变才能使上传文档再次正常工作呢？

Answer 1

您可以为您的文件创建S3预签名url。这将使您页面的访问者能够下载它们，而无需显式公开。预先签名的网址是临时的，因此您需要一个重新生成过期网址的机制。

其他流行的选择是通过CloudFront公开文件。这样，您的存储桶不仅可以保持完全私有，而且还可以获得全局CDN的好处，它可以更快地为您的文件提供服务器。

Answer 2

如果您希望授予应用程序访问（上传/下载）Amazon S3存储桶的权限，则应在应用程序正在使用的IAM用户或IAM角色的IAM策略中授予权限。没有必要还创建一个桶策略。

这将允许应用程序上传和下载内容。

当应用程序希望允许用户访问私有对象时，它应该生成Amazon S3预签名网址，这是一个有时间限制的网址，提供对私有对象的临时访问。URL可以作为链接插入到超文本标记语言中，甚至可以插入到标记中（例如

预签名的URL也可用于将对象上载到bucket。通过这种方式，应用程序可以控制谁可以上传对象以及将其放置在何处。请参阅：使用预先指定的URL上载对象-Amazon简单存储服务