值为“bucket-owner-full-control”的S3:X-AMZ-ACL/是什么意思？

Question

我一直在bucket策略示例中看到这种情况，但我不知道它是什么

"Condition": {
    "StringEquals": {
        "s3:x-amz-acl": "bucket-owner-full-control"
    }

这是否意味着用户必须添加一个具有“bucket-owner-full-control”值的标头“s3:x-amz-acl”？这是强制执行实际的acl还是任意的？它可以是任何头和字符串，或者S3:X-AMZ-ACL和bucket-owner-full-control有什么意义吗？

Answer 1

此策略代码段要求请求包含屏蔽ACL的规范，使用标头X-AMZ-ACL（不区分大小写），值bucket-owner-full-control。

对此条件的约束通常用于确保对象的所有者（始终是上传用户，不一定是bucket的所有者）不能创建bucket所有者无法读取的对象（“完全控制”是一个不幸的用词不当，因为bucket所有者已经可以删除外部对象，尽管如此，不能进一步委派对对象的权限）。

但这不是武断的。

它不是一个任意的头匹配，尽管这种功能有时可能很方便。大多数其他HTTP头不受策略条件的限制，您不能使用，例如s3:x-random-http-header条件。

有一些全局条件键，如AWS:securetransport可用于拒绝不使用HTTPS的请求，以及AWS:useragent可根据HTTPuser-agent标头进行计算，但请注意文档中的警告，这“不应用于防止未经授权的各方发出直接的AWS请求”，因为它很容易被用户代理伪造。否则，允许/拒绝与头相关的请求的选项就不多了。

与condition键不同，值字符串bucket-owner-full-control实际上不会在策略中进行验证，因为它只是一个字符串，但是如果不指定有效值，它将永远不会匹配。