使用策略限制 amazon s3 存储桶上的文件类型

Question

我正在尝试设置，以便存储桶可以保存的唯一文件类型是 png、jpeg 和 gif 图像。我正在尝试加入这样的存储桶策略

{
    "conditions": [
        {"bucket": "bucketname"},
        ["starts-with", "$Content-Type", "image/jpeg"],
        ["starts-with", "$Content-Type", "image/png"],
        ["starts-with", "$Content-Type", "image/gif"],
        ["content-length-range", 0, 10485760]
    ]
}

然后我也在尝试限制大小，但是当我尝试更新我的策略时，我收到错误“无效的策略元素 - 条件”

我尝试使用此处的答案 - s3 direct upload restricting file size and type，这就是我制作代码的地方，但我不确定执行此操作的正确方法，因为我的政策甚至没有被亚马逊接受。

Answer 1

如果你不确定如何编写，你可以使用策略生成器，例如你会有类似的东西

{
  "Id": "Policy1464968545158",
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Stmt1464968483619",
      "Action": [
        "s3:PutObject"
      ],
      "Effect": "Allow",
      "Resource": "arn:aws:s3:::<yourbucket>/*.jpg",
      "Principal": "*"
    },
    {
      "Sid": "Stmt1464968543787",
      "Action": [
        "s3:PutObject"
      ],
      "Effect": "Allow",
      "Resource": "arn:aws:s3:::<yourbucket>/*.png",
      "Principal": "*"
    }
  ]
}

正如doc所说，你可以指定多个资源并聚合这部分，所以不需要乘以声明

    "Resource": [
      "arn:aws:s3:::<yourbucket>/*.jpg",
      "arn:aws:s3:::<yourbucket>/*.png",
      "arn:aws:s3:::<yourbucket>/*.gif",
    ],

所以你会得到类似的东西

{
    "Id": "Policy1464968545158",
    "Version": "2012-10-17",
    "Statement": [
      {
        "Sid": "Stmt1464968483619",
        "Action": [
          "s3:PutObject"
        ],
        "Effect": "Allow",
        "Resource": [
          "arn:aws:s3:::<yourbucket>/*.jpg",
          "arn:aws:s3:::<yourbucket>/*.png",
          "arn:aws:s3:::<yourbucket>/*.gif",
        ],
        "Principal": "*"
      }
    ]
}

您可以在创建存储桶策略时访问策略生成器

Answer 2

我与 AWS 支持工程师交谈，conditions.starts-with 限制仅受 HTTP POST 策略支持（例如：浏览器表单字段上传请求的策略）。使用此策略，当您或您的用户使用 HTTP PUT 请求上传文件时，应该不可能限制 mineType。

参考：https://docs.aws.amazon.com/AmazonS3/latest/API/sigv4-HTTPPOSTConstructPolicy.html#sigv4-PolicyConditions。

对于通用策略，您可以在此处查看可用的Condition 密钥，https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazons3.html

我发现还有另一种可以限制 mineType 的解决方案，

1. 为您的 html 元素指定 mineType，如下所示：<input type="file" accept="image/bmp,image/jpeg,image/png,image/gif"/>
2. 然后可以通过代码获取bmp、jpeg、png和gif，可以在上传前设置为S3对象的文件URL扩展名。
3. 最后，您可以添加一般策略来限制文件 URL 扩展名，如下所示。参考：https://aws.amazon.com/premiumsupport/knowledge-center/s3-allow-certain-file-types/

{
    "Id": "Policy1464968545158",
    "Version": "2012-10-17",
    "Statement": [
      {
          "Sid": "Stmt1464968483619",
          "Effect": "Allow",
          "Principal": {
              "AWS": "IAM-USER-ARN"
          },
          "Action": "s3:PutObject",
          "Resource": [
              "arn:aws:s3:::bucket-name/*.bmp",
              "arn:aws:s3:::bucket-name/*.jpeg",
              "arn:aws:s3:::bucket-name/*.png",
              "arn:aws:s3:::bucket-name/*.gif"
         ]
     }
  ]
}

4. 这样您就可以从浏览器端限制 mimeType