Cognito用户池无法访问S3的策略失败

Question

我有一个Cognito用户池，需要使用基于UserId（ ${cognito-identity.amazonaws.com:sub} ）的前缀访问S3存储桶。 我已使用以下内联策略在IAM中为用户池设置了角色，该内联策略是从IAM组的现有类似策略中复制和编辑的：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::[Bucket Having Problems]"
        },
        {
            "Sid": "VisualEditor1",
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject"
            ],
            "Resource": "arn:aws:s3:::[Unrelated Bucket]/${cognito-identity.amazonaws.com:sub}/*"
        },
        {
            "Sid": "VisualEditor2",
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::[Bucket Having Problems]/${cognito-identity.amazonaws.com:sub}/*"
        }
    ]
}

信任关系选项卡具有

Trusted entities: cognito-identity.amazonaws.com

同

Conditions: StringEquals, cognito-identity.amazonaws.com:aud, [Pool ID of User Pool I want to use]

当我尝试在所需存储桶中使用前缀为的ListObjects时

[Cognito User Id]/[optional: Subfolder, with or without trailing "/"]

或上的getObject

[Cognito User Id]/[File I know is there]

我收到403: Access Denied错误（或有时出现不允许未经身份验证的访问的错误，此后我需要再次输入用户名和密码）。

我已确认的用户ID（ ${cognito-identity.amazonaws.com:sub}上） CognitoUserPool.getCurrentUser是一样的Cognito用户，我登录时（虽然有一个CognitoCachingCredentialsProvider在中间，其中有一个与之关联的不同IdentityId 。

我不知道我的政策是否得到适当的应用。 我认为我已经把所有东西都捆绑在一起了，但是Access Advisor表示在跟踪期内尚未对其进行访问。 我在远程做正确的事吗？ 有什么明显的我想念的东西吗？ 我可以收集有关该问题的任何mroe数据吗？ 异常始终具有一个请求ID和一个S3扩展请求ID，但是Google似乎建议我只能通过直接与AWS技术支持联系来使用它。

如何基于唯一标识Cognito用户的信息授予Cognito用户从S3存储桶读取的权限？

更新：我修改了策略以允许GetObject访问所有内容，但我仍在获取AccessDenied：

    {
        "Sid": "VisualEditor2",
        "Effect": "Allow",
        "Action": "s3:GetObject",
        "Resource": "*"
    }

我认为问题在于根本没有使用该政策，我也不知道为什么。

更新：我想我需要提出一个使用角色的请求。 现在想办法。

更新：尝试扮演以下角色：

AssumeRoleRequest roleRequest = new AssumeRoleRequest().withRoleArn([ARN for Role]).withRoleSessionName([I made up a name for this]);
AssumeRoleResult result = new AWSSecurityTokenServiceClient(cognitocachingprovider.getCredentials()).assumeRole(roleRequest);
AmazonS3Client client = new AmazonS3Client(new BasicAWSCredentials(result.getCredentials().getAccessKeyId(), result.getCredentials().getSecretAccessKey()));
S3Object obj = client.getObject(bucket, pathOfKnownObject);

我得到了403： assumeRole(roleRequest)访问权限被拒绝assumeRole(roleRequest)