AWS：无法通过 s3 存储桶策略授予 s3 访问权限

Question

我是我帐户的 root 用户，我创建了一个新用户并尝试通过 s3 存储桶策略授予对 s3 的访问权限：

这是我的政策详情：-

{  "Id": "Policy1542998309644",  "Version": "2012-10-17",  "Statement": [    {      "Sid": "Stmt1542998308012",      "Action": [        "s3:ListBucket"      ],      "Effect": "Allow",      "Resource": "arn:aws:s3:::aws-bucket-demo-1",      "Principal": {        "AWS": [          "arn:aws:iam::213171387512:user/Dave"        ]      }    }  ]}

在 IAM 中，我没有向新用户授予任何访问权限。 我想通过 s3 存储桶策略为他提供对 s3 的访问权限。 实际上我想实现这一点： https://aws.amazon.com/premiumsupport/knowledge-center/s3-console-access-certain-bucket/但不是来自 IAM，我只想使用 s3 存储桶策略。

Answer 1

您将需要使用ListBuckets 。

您似乎希望该用户只能看到您的存储桶，但不能访问其中的任何内容。

Answer 2

基于以下 AWS 博客文章（该博客显示 IAM 策略，但它可以适应存储桶策略）：

• 如何仅授予用户对特定存储桶的 Amazon S3 控制台访问权限？

您可以制定以下存储桶策略：

{
  "Id": "Policy1589632516440",
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Stmt1589632482887",
      "Action": [
        "s3:ListBucket"
      ],
      "Effect": "Allow",
      "Resource": "arn:aws:s3:::aws-bucket-demo-1",
      "Principal": {
        "AWS": [
          "arn:aws:iam::213171387512:user/Dave"
        ]
      }
    },
    {
      "Sid": "Stmt1589632515136",
      "Action": [
        "s3:GetObject",
        "s3:PutObject"
      ],
      "Effect": "Allow",
      "Resource": "arn:aws:s3:::aws-bucket-demo-1/*",
      "Principal": {
        "AWS": [
          "arn:aws:iam::213171387512:user/Dave"
        ]
      }
    }
  ]
}

这将要求用户将 url 直接放入存储桶：

https://s3.console.aws.amazon.com/s3/buckets/aws-bucket-demo-1/

原因是用户没有列出所有可用存储桶的权限。 因此，他/她必须将 go 直接传递给您指定的那个。

显然，当您在 IAM 服务中创建他/她时，IAM 用户需要启用AWS Management Console access 。 仅通过Programmatic access ，IAM 用户不能使用控制台，也没有存储桶策略可以改变这一点。