身份验证时无法访问匿名上传的S3对象

Question

我有一个S3存储桶，其中包含以下策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "s3:DeleteObject",
                "s3:GetObject",
                "s3:PutObject"
            ],
            "Resource": "arn:aws:s3:::my-bucket/*"
        },
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::my-bucket"
        }
    ]
}

从任何web客户端上载和删除对象都可以，无需任何身份验证，例如cURL。

但是，如果我作为IAM用户进行了身份验证（没有任何策略，甚至没有AmazonS3ReadOnlyAccess策略），我在尝试访问（get）匿名上传的对象时会收到403个错误。可以访问以非匿名方式（例如通过S3控制台）上传的其他对象。发生了什么事？

重述：

• 匿名用户：
  • 可以上传文件到桶中
  • 可以下载文件从桶上传自己或由任何其他用户
  • 可以将文件上载到存储桶中

  PS：根据IAM策略模拟器，匿名上传的文件应由IAM用户下载。

Answer 1

这实际上是预期的行为：

不可能对S3进行匿名Put和私有Get。结果是匿名用户拥有该对象。

我犯的错误是，假设使用*主体设置策略意味着“所有人”，而实际上in仅意味着“匿名用户”。而另一个用户无法访问由用户“拥有”的对象（包括特殊的匿名用户）（除非您对对象本身设置策略）。事实上，其他用户可以“看到”对象，因为它有权“列出”bucket，但这并不意味着它可以读取其内容。