如何允許 Cognito 用戶訪問他們自己的 S3 文件夾

Question

我想要的是讓 aws cognito 用戶組（家庭）讀/寫 S3 存儲桶，這應該只對那些用戶家庭可用。

我用 boto3 python 庫創建了一個用戶。 現在我需要授予此用戶訪問其存儲桶中的文件夾的權限。

我發現了一些建議創建這樣的存儲桶策略的帖子：

policy = {
"Version": "2012-10-17",
"Statement": [
    {
        "Sid": "Grant user access to his folder",
        "Effect": "Allow",
        "Principal": "*",
        "Action": ["s3:PutObject"],
        "Resource": "arn:aws:s3:::BUCKET/users/${cognito-identity.amazonaws.com:sub}",
        "Condition": {
            "StringLike": {
                "cognito-identity.amazonaws.com:sub": [
                    "us-east-1:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxx",
                    "us-east-1:yyyyyyyy-xxxx-xxxx-xxxx-xxxxxxxxxx"
                ]
            }
        }
    }
]}

但事實證明，我們無法在存儲桶的策略條件中指定“cognito-identity.amazonaws.com:sub”。

任何幫助都受到高度贊賞。

Answer 1

我認為您上面的策略需要在經過身份驗證的用戶的 IAM 角色中，而不是存儲桶策略的一部分。