为第 3 方身份提供商创建 AWS IAM 策略/角色

Question

我已在 AWS 中成功配置了一个身份提供商，它允许我使用我的 IdP (Auth0) 授予的 id_token 访问 S3（和其他）资源。

我想采取的最后一步是通过根据id_token 中的声明限制对 S3 存储桶的访问，在 AWS 中配置更细粒度的访问控制。目前，由 IdP 颁发的任何有效令牌都提供访问权限。我可以轻松地为 Auth0 中的不同用户指定自定义声明（角色），但无法弄清楚如何检查 AWS IAM 策略或角色中的这些字段。

这是我所遵循的非常有用且详细的指南：https://datalanguage.com/news/s3-managed-uploads

这可能吗？

编辑

我已经看到this 的问题，但我没有使用 cognito。如果可能的话，我希望能够做到这一点。

Answer 1

为什么不为每个用户使用访问权限配置文件，作为 S3 中的 JSON：

  {
    "accessRight": {
        "element": "bucketA",
        "role": "manager"
    }
  }

然后：

1. 如果用户已通过身份验证（使用 Congnito）。

2. 如果用户具有所需的角色（例如，manager）。

   if (1 && 2) grantAccess()
   

你可以尽可能的细粒度，你只需要为它定义元素和角色。