為什么我的AWS S3存儲桶策略不會覆蓋我的IAM策略？

Question

我的IAM帳戶中有一個名為“testuser”的用戶具有管理員權限，如下所示：

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "*",
      "Resource": "*"
    }
  ]
}

然后我在我的S3存儲桶上有一個拒絕此用戶訪問權限的策略，如下所示：

{
  "Statement": [
    {
  "Effect": "Deny",
  "Principal": {
    "AWS": "my-account-id:user/testuser"
  },
  "Action": "s3:*",
  "Resource": "arn:aws:s3:::my-bucket-name/*"
    }
  ]
}

那么，S3存儲桶策略中的顯式拒絕是否應該覆蓋IAM策略允許的權限？ 但是當我以testuser身份登錄時，我仍然可以訪問該存儲桶中的所有內容 - 我甚至可以訪問更改或刪除該存儲桶的存儲桶策略（以及其他所有存儲桶）。 為什么我沒有明確拒絕做任何事情？

Answer 1

嘗試在存儲桶策略中使用完整的ARN表單作為用戶ID：

"Principal": {
  "AWS":["arn:aws:iam::accountid:user/testuser"]
}