允許用戶池中的 Cognito 用戶訪問 S3 存儲桶的存儲桶策略

Question

我正在嘗試向我的存儲桶添加存儲桶策略，因為我的存儲桶位於 root aws 帳戶中，並且我想限制 root 帳戶下的其他用戶、角色等訪問我的存儲桶，但我的用戶中的特定 Cognito 用戶除外游泳池。

我不想也使用身份池——我只想將 Cognito 用戶稱為我的存儲桶策略中的主體。 有沒有辦法在不使用身份池的情況下做到這一點？ 我找不到任何執行此操作的示例策略。

Answer 1

您可以將存儲桶策略的原則設置為 Cognito 用戶的身份驗證角色。 就我而言，原則看起來像

"Principal": {
    "AWS": "arn:aws:iam::123456789000:role/NAME_OF_MY-authRole"
},

然后，您可以通過更改資源來進一步控制訪問。 這是來自AWS docs的示例。

"arn:aws:s3:::bucket-name/cognito/application-name/${cognito-identity.amazonaws.com:sub}",
                "arn:aws:s3:::bucket-name/cognito/application-name/${cognito-identity.amazonaws.com:sub}/*"