如何创建公共多区域接入点策略？

Question

我正在试验多区域接入点及其过于复杂的策略语法，但我无法让最简单的事情发挥作用。

我在全球范围内产生了 3 个存储桶并创建了一个访问点。 我的所有项目都是私有的，因为我的多区域接入点策略尚未配置。

到目前为止，我有这个：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": "s3:GetObject",
            "Resource": [
                "arn:aws:s3::<my account id>:accesspoint/xyz.mrap"
            ],
            "Condition": {
                "StringEquals": {
                    "s3:DataAccessPointAccount": "<my account id>"
                }
            }
        }
    ]
}

指示的错误指出：

行动不适用于声明中的任何资源

他们的示例使用"Action": "*",但我想限制这一点。

谁能帮助我的政策出了什么问题？

Answer 1

s3:GetObject仅适用于对象。 您的arn:aws:s3::<my account id>:accesspoint/xyz.mrap代表访问点，而不是其对象。 因此它应该是：

            "Resource": [
                "arn:aws:s3::<my account id>:accesspoint/xyz.mrap/*"
            ],