允许第三方应用程序写入您的 aws 存储桶

Question

我有一个问题，我不确定我是否知道答案。 我有一个名为staging的存储桶，我想授予第三方开发人员（正在构建 webapp）的访问权限，以允许将文件上传到该存储桶中。

这样做的正确方法是什么？ 当然，不会泄露我的 aws 秘密？

如果有人能为此指出正确的方向，那就太好了。

Answer 1

您可以使用Staging S3 存储桶中的Resource Based Policies来实现它。

1. 将基于资源的策略添加到暂存存储桶，以允许访问开发账户的 IAM 用户/角色。

    { "Version": "2012-10-17", "Statement": [{ "Sid": "VisualEditor0", "Effect": "Allow", "Principal": { "AWS": "<ARN of IAM User/Role from Dev Account>" }, "Action": [ "s3:GetObject", "s3:PutObject" ] "Resource": "arn:aws:s3:::staging-bucket/*" }] }

2. 接下来，在 Dev 帐户中添加一个 IAM 策略，允许访问 Staging 帐户中的 S3 存储桶。

    { "Version": "2012-10-17", "Statement": [{ "Sid": "VisualEditor1", "Effect": "Allow", "Action": [ "s3:GetObject", "s3:PutObject" ] "Resource": "arn:aws:s3:::staging-bucket/*" }] }

参考

• 如何提供对 Amazon S3 存储桶中对象的跨账户访问？

• 如何从另一个 AWS 账户访问 S3 存储桶

Answer 2

如果您谈论的是第三方应用程序正在上传内容； 一种选择是您可以通过 apigateway 公开 API 以将内容上传到存储桶。 请记住从存储桶权限中删除公共访问权限。