Kullanıcının S3 grubuna dosya yüklemesine, ancak üzerine yazmasına veya silmesine nasıl izin verilir?

Bir kullanıcı için aşağıdaki IAM politikam var

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Stmt1395161912000",
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket",
        "s3:PutObject",
        "s3:*"
      ],
      "Resource": [
        "arn:aws:s3:::bucketname"
      ]
    },
    {
      "Sid": "list",
      "Effect": "Allow",
      "Action": [
        "s3:ListAllMyBuckets"
      ],
      "Resource": [
        "arn:aws:s3:::*"
      ]
    }
  ]
}

Amaç, kullanıcının dosyaları gruba yüklemesine izin vermek, ancak üzerine yazmamak veya silmek değil. Yedekleme için. İle başladım ListBucketve işe yaramadığı için PutObjectekledim *. *Kullanıcının dosyaları yüklemesine bile izin vermiyor, sadece alıyorum Access Denied.

Ben Simülatörü çalıştığınızda, döndürür Denied - Implicitly denied (no matching statements found).için ListBucketben örtük buna izin beri tuhaf görünüyor ki,.

Cyberduck ve 3Hub'ı S3 istemcisi olarak denedim.

Neyin yanlış olduğu hakkında bir fikrin var mı?

Hazırlarken Amazon IAM için politikaları Amazon S3 , sen arasındaki farkın farkında olması gerekir Hizmet üzerinde Operasyon (örn ListAllMyBuckets ), Kovalar ilgili operasyonlar (örn ListBucket ) ve Nesneler üzerinde Operasyonları (örn GetObject ).

Özellikle, Resourcepolitikanızın spesifikasyonunun aşağıdaki hedeflere göre uygun hedef varlıkları ele alması gerekir (ör. Amazon S3 için çeşitli Örnek Politikalar )

• Hizmet İşlemleri - arn:aws:s3:::*
• Kovalarda İşlemler - arn:aws:s3:::<bucket>
• Nesneler Üzerindeki İşlemler - arn:aws:s3:::<bucket>/<object>

Çözüm

Karşılaştığınız Access Deniediçin PutObject, bir nesne düzeyinde kaynak belirtimi gerektiren bir kova düzeyi kaynak belirttiğiniz için arn:aws:s3:::<bucket>/*- buna göre aşağıdaki politika örnek kullanım durumunuzu kapsamalıdır:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListAllMyBuckets"
      ],
      "Resource": [
        "arn:aws:s3:::*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::bucketname"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutObject"
      ],
      "Resource": [
        "arn:aws:s3:::bucketname/*"
      ]
    }
  ]
}