授予读取 Amazon S3 存储桶内子目录的权限

我以前从未使用过 AWS S3。我们用它来自动备份客户的通话录音。我们的一位客户出于审计目的需要访问他们的录音。

我使用客户端 Cyber​​Duck 作为访问文件的方式。

我只想让他们访问他们的文件。

我们的文件结构如下：

recordings/12345/COMPANYNAMEHERE/

我刚刚了解到您是根据脚本和策略构建和执行操作的。所以我做了一些研究并尝试构建一个，但我在列表中被拒绝访问。

只是好奇我是否正确地处理了这个问题。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:ListAllMyBuckets",
            "Resource": "arn:aws:s3:::*"
        },
        {
            "Effect": "Allow",
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:::recordings/12345/COMPANYNAMEHERE",
                "arn:aws:s3:::recordings/12345/COMPANYNAMEHERE/*"
            ]
        }
    ]
}

您只允许他们ListAllMyBuckets，这意味着他们只能列出您的存储桶的名称，而不能执行任何其他操作。

如果您已经为他们创建了 IAM 用户，那么向他们提供此策略将允许他们列出和检索其文件，但只能从给定目录（或者更准确地说，使用给定前缀）：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "s3:ListBucket"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:s3:::my-bucket"
            ],
            "Condition": {
                "StringLike": {
                    "s3:prefix": [
                        "recordings/123/*"
                    ]
                }
            }
        },
        {
            "Action": [
                "s3:GetObject"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:s3:::my-bucket/recordings/123/*"
            ]
        }
    ]
}

如果您经常与客户这样做，那么您可以使用IAM 策略变量 http://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_variables.html创建替换用户名的规则：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "s3:ListBucket"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:s3:::my-bucket"
            ],
            "Condition": {
                "StringLike": {
                    "s3:prefix": [
                        "recordings/${aws:username}/*"
                    ]
                }
            }
        },
        {
            "Action": [
                "s3:GetObject"
            ],
            "Effect": "Allow",
            "Resource": [
                "arn:aws:s3:::my-bucket/recordings/${aws:username}/*"
            ]
        }
    ]
}