AWS-IAM：允许访问单个铲斗

Question

我创建了一个组，我添加了新用户到这个组，然后我创建了以下IAM策略：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "s3:ListAllMyBuckets",
      "Resource": "arn:aws:s3:::*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket",
        "s3:GetBucketLocation"
      ],
      "Resource": "arn:aws:s3:::EXAMPLE-BUCKET-NAME"
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutObject",
        "s3:GetObject",
        "s3:DeleteObject"
      ],
      "Resource": "arn:aws:s3:::EXAMPLE-BUCKET-NAME/*"
    }
  ]
}

我从以下方面获得上述政策：

http://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_examples.html

基本上，我想为一个特定的桶开通权限，但是上面的策略不起作用。用户仍然可以从其他存储桶中添加、删除、修改文件。

谢谢！

Answer 1

尝试为S3存储桶使用IAM角色，为每个用户使用角色。这将限制对存储桶的写访问。

请参阅此链接-https://aws.amazon.com/blogs/security/how-to-restrict-amazon-s3-bucket-access-to-a-specific-iam-role/

检查链接中有关授予访问权限的部分。

希望有帮助！

Answer 2

此策略肯定会起作用-用户只能添加/删除/修改EXAMPLE-BUCKET-NAME BUCKET。

仔细检查您的组和用户，确保没有附加其他托管或内联策略。

Answer 3

对于谷歌用户：

S3 API和IAM操作命名完全崩溃：

• ListBucket是一个不建议使用的SOAP API，现在被重命名为ListObject
• ListBuckets是一个API，它列出了您拥有的所有存储桶THE API CALLER ACCOUNT
• ListBucketAPI是由，你可能猜想，s3： ListBucketIAM操作
• ListBucketsAPI受...惊喜❗️s3： ListAllMyBucketsIAM action
返回一个名为...惊喜❗️的对象

我现在找不到一个好方法来描述我的感受。

为了最好的向后兼容性，永远保留旧的API或错误命名的API可能是一个好习惯，但是AWS在创建新API时应该把一致性放在第一位。

简而言之：ListBucket=s3:ListAllMyBucket，忘掉s3:ListBucket！

也就是说，截至2021/01年，无法：

• 列出你拥有的桶的限制数量，因为正如它的名字所暗示的那样，只接受*作为有效资源
• 列出任何不属于你的桶，因为没有这样的API或参数
• 获取任何不属于你的桶的创建日期，因为列表桶是获取此信息的唯一方法