S3 Bucket操作不适用于任何资源

Question

我将按照此答案中的说明生成以下S3桶策略：

{
  "Id": "Policy1495981680273",
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Stmt1495981517155",
      "Action": [
        "s3:GetObject"
      ],
      "Effect": "Allow",
      "Resource": "arn:aws:s3:::surplace-audio",
      "Principal": "*"
    }
  ]
}

我返回以下错误：

操作不适用于语句中的任何资源

我的政策遗漏了什么？

Answer 1

错误操作不适用于语句中的任何资源

简单地说，这意味着操作（您在策略中编写的）不适用于资源。我试图公开我的桶，这样任何人都可以从我的桶下载。我得到的错误，直到我删除（s3： ListBucket）从我的语句。

{
  "Id": "Policyxxxx961",
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Stmtxxxxx4365",
      "Action": [
        "s3:GetObject",
        "s3:ListBucket",
        "s3:PutObject"
      ],
      "Effect": "Allow",
      "Resource": "arn:aws:s3:::bucket-name/*",
      "Principal": "*"
    }
  ]
}

因为list bucket不适用于bucket内部，所以删除此操作策略效果很好。

Answer 2

仅仅删除s3:ListBucket权限对我来说并不是一个很好的解决方案，对很多其他人来说可能也不是。

如果你想要s3:ListBucket权限，你只需要拥有bucket的普通arn（末尾没有/*），因为该权限适用于bucket本身，而不是bucket中的项目。

如下所示，您必须将s3： ListBucket权限作为与桶中的项相关的权限（如s3： GetObject和s3： PutObject）的单独语句：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket"        
      ],
      "Principal": {
        "AWS": "[IAM ARN HERE]"
      },
      "Resource": "arn:aws:s3:::my-bucket-name"
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject", 
        "s3:PutObject"
      ],
      "Principal": {
        "AWS": "[IAM ARN HERE]"
      },
      "Resource": "arn:aws:s3:::my-bucket-name/*"
    }
  ]
}

Answer 3

来自IAM docs，http://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html#Action

有些服务不允许您为单个资源指定操作；相反，您在Action或NotAction元素中列出的任何操作都适用于该服务中的所有资源。在这些情况下，可以在资源元素中使用通配符*。

有了这些信息，资源的值应该如下所示：

"Resource": "arn:aws:s3:::surplace-audio/*"