用于 Cognito ID 组的 S3 文件夹访问的 IAM 策略

Question

我想在 cognito 用户组之间共享单独的 s3 文件夹，使用假设_role_with_web_identity 标识，例如

A组：设备1、设备2

B 组：设备 4、设备 5、设备 10、...、设备 23

A组有一个共享文件夹：mybucket/groupA/*，不能访问B组的文件夹。

组 B 有一个共享文件夹：mybycket/groupB/*，无法访问组 A 的文件夹。

我们预计会有 1000 个组。

据我从网络上的示例中可以看出，只能在共享策略中指定仅限设备的 ID，使用如下所示： "Resource": [ "arn:aws:s3:::my-bucket/${cognito-identity.amazonaws.com:sub}/*" ]

但是我不知道如何通过共享策略授予对设备组的访问权限。请帮忙。

注意！ Amazon 的角色限制为每个账户 250 个角色，因此我无法为每个组创建角色。

Answer 1

Amazon Cognito 不支持组。 Cognito 凭证目前不能用于访问其他身份或资产组。 Cognito 凭证可用于访问身份资产或全局资产。

This blog post 展示了使用条件策略授予更多用户访问权限的示例，但不幸的是，这无法扩展到 1000 个组。