用于移动和web访问的认知角色和AWS S3桶策略

Question

我们的目标是创建只允许登录用户访问S3的S3 bucket和IAM角色策略。

我们在S3 bucket上托管私人文件，可以从web和移动应用程序访问。我们试图通过Amazon Cognito添加一层安全性，使用一个未经身份验证的角色，这样任何登录到我们应用程序的用户都可以访问S3 bucket。

使用AWS-SDK for JS并遵循基本的aws.config.credentials设置，我们可以在Amazon Cognito identity仪表板中看到访问的1个标识和同步的数量。由于我们似乎连接到了IdentityPool,我认为我们的策略可能需要一些调整，以便具有未经身份验证的Cognito角色的登录用户可以访问S3 bucket。

Cognito_IdentityPoolUnauth_Role的IAM角色策略

{
"Version": "2012-10-17",
"Statement": [
    {
        "Sid": "SID_NUMBER",
        "Effect": "Allow",
        "Action": [
            "s3:*"
        ],
        "Resource": [
            "arn:aws:s3:::OUR_BUCKET_NAME/*"
        ]
    }
  ]
}

S3桶策略

{
"Version": "2012-10-17",
"Id": "http referer policy example",
"Statement": [
    {
        "Sid": "",
        "Effect": "Allow",
        "Principal": {
            "AWS": "arn:aws:iam::IAM_NUMBER:role/Cognito_IdentityPoolUnauth_Role"
        },
        "Action": "s3:*",
        "Resource": "arn:aws:s3:::OUR_BUCKET_NAME/*"
    }
  ]
}

Answer 1

尝试从浏览器直接访问文件时，不会随请求一起发送凭据。它与尝试直接命中S3而不需要任何代码从Cognito获取凭据具有相同的效果。为了使用Cognito凭据，您需要使用javascript SDK发出请求。下面是使用javascript SDK的示例请求，摘自本页

var s3 = new AWS.S3();
var params = {Bucket: 'myBucket', Key: 'myKey'};
s3.getSignedUrl('getObject', params, function (err, url) {
  console.log("The URL is", url);
});

如果您在获得Cognito凭据后调用此代码，它将使用Cognito凭据创建一个签名的url，以访问bucket MyBucket中的密钥myKey。您可以采用类似的方法在bucket中listObjects，然后生成签名的URL（用Cognito凭据签名），最终用户可以单击该URL查看bucket中每个键的内容。