设置权限后，为什么我不能从 s3 存储桶下载文件？

Question

我试图创建一个存储桶并为另外两个帐户设置完全权限。首先，我在存储桶权限中添加了这些帐户。文件仍然无法访问。然后，我尝试了一项政策。我为每个帐户创建了两个角色以在其中指定它们。这是该政策：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAccess",
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::id:role/user1",
                    "arn:aws:iam::id:role/user2"
                ]
            },
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:::bucket-name/*",
                "arn:aws:s3:::bucket-name"
            ]
        }
    ]
}

还是什么都没有。然后我看到，即使存储桶设置了所有权限，其中的文件也没有任何权限。当我为文件设置它们时，其他用户可以访问它。但我真的不想为我上传的每个文件都这样做。怎么了？

我尝试使用 aws cli 加载文件并使用“--grants”选项在那里设置权限，但上传后，我什至无法通过 aws 控制台自己下载它们。

Answer 1

为了演示它是如何工作的，我做了以下操作：

• 在 Account-1 中创建 bucket-1
• 分配了此存储桶策略：

.

{
    "Id": "Account1Policy",
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowBucketAccess",
            "Action": "s3:*",
            "Effect": "Allow",
            "Resource": [
                "arn:aws:s3:::bucket-1",
                "arn:aws:s3:::bucket-1/*"
            ],
            "Principal": {
                "AWS": [
                    "arn:aws:iam::222222222222:user/account-2-user"
                ]
            }
        }
    ]
}

此政策规定：允许 account2:account-2-user 对 account1:bucket-1 执行任何操作

• 在 Account-2 中创建 account-2-user
• 给用户这个内联政策：

.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowBucket1Access",
            "Effect": "Allow",
            "Action": [
                "s3:*"
            ],
            "Resource": [
                "arn:aws:s3:::bucket-1",
                "arn:aws:s3:::bucket-1/*"
            ]
        }
    ]
}

此政策规定：允许附加此政策的用户对 bucket-1 执行任何操作

如果存储桶和用户都在同一个账户中，则此策略足以授予对存储桶的完全访问权限。但是，因为 bucket-1 实际上属于不同的账户，所以还需要第一个策略（上面），以便 account-1 实际授予访问权限。这意味着第二个策略实际上并没有授予对存储桶的访问权限 - 它只是授予account-user-2 以发出请求访问存储桶的权限。在第一个策略中授予真正的访问权限。

然后我成功使用account-2-user的凭据访问bucket-1：

$ aws s3 cp foo.txt s3://bucket-1 --profile account-2-user
upload: ./foo.txt to s3://bucket-1/foo.txt    

Answer 2

如果存储桶策略授予对对象的访问权限，则您无需同时授予对象级别的访问权限。

如果通过名为user1 或user2 的角色 颁发的凭据访问存储桶，您列出的存储桶策略将授予对存储桶的访问权限。 （很奇怪，您给角色名称添加了“用户”前缀。）

例如，如果您有一个 Amazon EC2 实例，该实例分配了一个名为 user1 的 IAM 角色，那么它将自动获得访问存储桶的凭据。

如果 user1 和 user2 实际上是用户，那么 ARN 应该是：

arn:aws:iam::id:user/user1

在这种情况下，当访问该用户的凭据时，将可以访问存储桶。

更新：

我认为它实际上需要在两个位置分配权限：

1. 在 Account-1 中的存储桶上，如上所述（表示存储桶允许来自另一个帐户中的用户/角色的访问），并且
2. 关于 Account-2 中的用户/角色，这表示 Account-2 的管理员允许该用户/角色调用 S3。如果用户/角色已经对* 资源拥有s3:* 权限，则不需要这样做。它至少需要针对所需存储桶的 S3 权限。