除了訪問 S3 存儲桶中的私有文件夾之外的所有用戶都拒絕訪問

Question

我有一個公共 S3 存儲桶，里面有 2 個文件夾， public-folder和private-folder

我希望每個人都可以訪問public-folder而我只希望user1以編程方式訪問private-folder 。

在 S3 存儲桶中，我添加了以下策略：

{
    "Version": "2012-10-17",
    "Id": "Policy1568654876568",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::my-bucket/*"
        },
        {
            "Effect": "Deny",
            "NotPrincipal": {
                "AWS": [
                    "arn-of-user1"
                ]
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::my-bucket/private-folder/*"
        }
    ]
}

在 IAM 中，我為user1創建了一個能夠訪問存儲桶的策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "s3:ListBucket"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:s3:::my-bucket"
        },
        {
            "Action": [
                "s3:DeleteObject",
                "s3:GetObject",
                "s3:PutObject"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:s3:::my-bucket/*"
        }
    ]
}

有沒有更好的方法來實現這個目標？ 是否可以使用 S3 策略拒絕每個人訪問private-folder ，然后使用我為user1定義的 IAM 策略覆蓋它？

Answer 1

如果您有public-folder和private-folder ，下面的事情會不會更容易、更自然。 以下內容基於桶及其對象默認為私有的事實。

桶策略

它允許公共訪問public-folder ：

{
    "Version": "2012-10-17",
    "Id": "Policy1568654876568",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::my-bucket/public-folder/*"
        }
    ]
}

用戶政策

它允許在private-folder放置、獲取和刪除對象，以及列出存儲桶。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "s3:ListBucket"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:s3:::my-bucket"
        },
        {
            "Action": [
                "s3:DeleteObject",
                "s3:GetObject",
                "s3:PutObject"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:s3:::my-bucket/private-folder/*"
        }
    ]
}

是否可以使用 S3 策略拒絕每個人訪問私有文件夾，然后使用我為 user1 定義的 IAM 策略覆蓋它？

顯式拒絕覆蓋任何允許。 因此，如果您拒絕所有人訪問，則不能使用任何 IAM 策略來允許訪問。