S3 IAM策略在模拟器中有效，但在现实生活中无效

Question

我有一个客户，我希望能够上传文件，但不能在我的S3存储桶中自由导航。我已为他们创建了一个IAM用户帐户，并应用了以下策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Stmt1416387009000",
            "Effect": "Allow",
            "Action": [
                "s3:ListAllMyBuckets"
            ],
            "Resource": [
                "arn:aws:s3:::*"
            ]
        },
        {
            "Sid": "Stmt1416387127000",
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::progress"
            ]
        },
        {
            "Sid": "Stmt1416387056000",
            "Effect": "Allow",
            "Action": [
                "s3:AbortMultipartUpload",
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::progress/*"
            ]
        }
    ]
}

有三种说法：

1. 能够列出所有存储桶（否则他们登录时在S3控制台中看不到任何内容）
2. 能够列出进度桶的内容
3. 将对象放入进度桶的能力

用户可以使用他们的用户名和密码（以及我的自定义帐户URL，即https://account.signin.aws.amazon.com/console）登录到AWS控制台。他们可以去控制台的S3部分，看到我所有桶的列表。但是，如果他们点击进度，他们只会得到以下错误消息：

很抱歉你被拒绝这样做。

我已经使用IAM策略模拟器检查了用户是否对存储桶的ARN（ARN:aws:s3:：：progress）具有ListBucket权限，并且策略模拟器说应该允许该用户。

我已经作为目标用户注销并再次登录，以防策略仅在注销时刷新，但仍然没有乐趣。

我做错了什么？我错过了什么吗？

Answer 1

我的猜测是，当使用AWS控制台时，在它可以列出桶中的对象之前，会进行另一个调用来获取桶位置，并且用户没有进行该调用的权限。您还需要让他帐户访问GetBucketPlace。留档中的相关文本

当您使用Amazon S3控制台时，请注意，当您单击桶时，控制台首先发送GET桶位置请求，以查找部署桶的AWS区域。然后控制台使用存储桶的区域特定终结点发送GET存储桶（列表对象）请求。因此，如果用户要使用控制台，则必须为s3： GetBucket位置操作开通权限，如以下策略语句所示：

{
   "Sid": "RequiredByS3Console",
   "Action": ["s3:GetBucketLocation"],
   "Effect": "Allow",
   "Resource": ["arn:aws:s3:::*"]
}