带条件的 AWS S3 存储桶策略

Question

我是 S3 存储桶策略的新手。 在 S3 文档中，我找到了一个 Bucket 策略（附在下面）。 我不确定是什么意思。 这是否意味着，除了这个用户：“AROAEXAMPLEID:*”、“AIDAEXAMPLEID”、“111111111111”之外，没有人可以执行任何操作（放置、读取、删除...）？ 任何人都可以验证吗？

 { "Version": "2012-10-17", "Statement": [ { "Effect": "Deny", "Principal": "*", "Action": "s3:*", "Resource": [ "arn:aws:s3:::MyExampleBucket", "arn:aws:s3:::MyExampleBucket/*" ], "Condition": { "StringNotLike": { "aws:userId": [ "AROAEXAMPLEID:*", "AIDAEXAMPLEID", "111111111111" ] } } } ] }

Answer 1

让我们将政策一一分解，以帮助您更好地理解

 "Principal": "*", - all users 
 "Action": "s3:*" - all actions related to s3
 "Resource": [
    "arn:aws:s3:::MyExampleBucket",
    "arn:aws:s3:::MyExampleBucket/*"
  ] - for my example buckets and its objects

现在让我们了解情况

"Condition": {
        "StringNotLike": {
          "aws:userId": [
            "AROAEXAMPLEID:*",
            "AIDAEXAMPLEID",
            "111111111111"
          ]
        } 

如果字符串不包含提到的用户 ID，这意味着此条件为真，如果此条件为真，因为effect= Deny为真，这意味着没有提到的用户 ID 的用户将无法对这些存储桶执行 s3 操作。

如果此条件不成立，这意味着如果它包含提到的用户 ID，这意味着他们将能够在提到的存储桶上执行所有 s3 操作。