S3 存储桶策略 - 使用“任何经过身份验证的用户”或存储桶策略？答案

【问题标题】：S3 Bucket Policy - use "Any Authenticated User" or bucket policy?S3 存储桶策略 - 使用“任何经过身份验证的用户”或存储桶策略？
【发布时间】：2017-03-25 23:08:10
【问题描述】：

我已经设置了一个 S3 存储桶和一个拥有该存储桶完全访问权限的 IAM 用户。

我很困惑如何限制对存储桶的访问，以便只有该用户和云前端可以访问它。云端策略是在云端控制面板中为我自动生成的。

但至于只允许我的 IAM 用户访问，我是否：

允许“任何经过身份验证的用户”，这是指我的 IAM 用户还是一般的任何 AWS 用户？
或者我需要修改存储桶策略吗？

【问题讨论】：

标签： amazon-web-services amazon-s3 amazon-iam

【解决方案1】：

Any Authenticated User 表示任何拥有 Amazon AWS 账户的用户。

您可能希望将策略附加到 IAM 用户而不处理存储桶策略。或添加存储桶策略以仅允许该 IAM 用户。两者的例子都在：IAM Policies and Bucket Policies

S3 存储桶政策示例

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": ["arn:aws:iam::111122223333:user/Alice",
                "arn:aws:iam::111122223333:root"]
      },
      "Action": "s3:*",
      "Resource": ["arn:aws:s3:::my_bucket",
                   "arn:aws:s3:::my_bucket/*"]
    }
  ]
}

IAM 政策示例

{
  "Version": "2012-10-17",
  "Statement":[{
    "Effect": "Allow",
    "Action": "s3:*",
    "Resource": ["arn:aws:s3:::my_bucket",
                 "arn:aws:s3:::my_bucket/*"]
    }
  ]
}

【讨论】：

人们做了什么，以防止存储桶中的对象被标记为“公共访问”，从而使用户 IAM 策略的目的无效？我已经尝试了 IAM 策略和存储桶策略的组合，但找不到真正按我预期工作的东西。