如何将驻留在账户 A 中的 s3 存储桶的访问权限授予来自多个 aws 账户的不同 iam 用户？

Question

我正在从事 aws SAM 项目，我需要向来自未知 aws 帐户的多个 iam 用户授予对我的 S3 存储桶的访问权限，但我无法使存储桶公开访问。 我想保护我的存储桶以及我希望来自任何 aws 帐户的任何 iam 用户访问我的 S3 存储桶的内容。 这可能吗？

以下是我尝试过并且效果很好的政策。

{
    "Version": "2012-10-17",
    "Id": "Policy1616828964582",
    "Statement": [
        {
            "Sid": "Stmt1616828940658",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::123456789012:role/STS_Role_demo"
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::new-demo-bkt/*"
        }
    ]
}

上述政策适用于一个用户，但我希望其他 AWS 账户中的任何用户都可以访问我的内容，而无需公开存储桶和对象，那么我该如何实现呢？

Answer 1

这可以通过对传入请求使用一组条件来实现。

我可以想到两个选择：

1. 您创建一个 IAM 角色，您的 SAM 应用程序即使在其他账户中运行时也会使用该角色
2. 您创建允许未知用户访问的 S3 存储桶策略

如果您决定研究 S3 存储桶策略，我建议使用S3 访问点来更好地管理访问策略。

访问点是附加到存储桶的命名网络端点，您可以使用这些存储桶执行 S3 object 操作，例如 GetObject 和 PutObject。 每个接入点都具有不同的权限和网络控制，S3 将这些权限和网络控制应用于通过该接入点发出的任何请求。 每个访问点都会实施一个自定义的访问点策略，该策略与附加到底层存储桶的存储桶策略结合使用。

您可以使用S3 条件的组合来限制访问。 例如，您的 SAM 应用程序可以在发出 S3 请求时包含特定的条件键，然后存储桶策略允许基于这些条件进行访问。

您还可以将全局 IAM 条件应用于 S3 策略。

但这并不是很好的安全性，恶意行为者可能能够找出标头并欺骗您的存储桶请求。 正如在某些条件上所指出的，例如aws:UserAgent ：

应谨慎使用此密钥。 由于aws:UserAgent值由调用方在 HTTP header 中提供，因此未经授权的各方可以使用修改后的或自定义浏览器来提供他们选择的任何aws:UserAgent值。 因此，不应使用aws:UserAgent来防止未经授权的各方发出直接 AWS 请求。 您可以使用它来仅允许特定的客户端应用程序，并且仅在测试您的策略之后。