AWS S3 存储桶策略公开。如何将对象设为私有？

Question

我有一个带有 GetObject 的存储桶，所有存储桶都满了 (*)。我想将一些对象设为私有（通过对象级操作 ACL），即只有存储桶所有者应该对对象具有读取权限。我已经浏览了所有可用的文档，但找不到任何可能的方法。谁能确认这是否可能？

Answer 1

您不能使用 S3 对象 ACL，因为 ACL 没有 DENY。

您可以修改 S3 策略以指定对象并拒绝访问单个项目。

示例 S3 策略（请注意，此策略禁止所有人访问 GetObject 的两个文件）：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "PublicReadGetObject",
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::mybucket/*"
        },
        {
            "Sid": "DenyPublicReadGetObject",
            "Effect": "Deny",
            "Principal": "*",
            "Action": "s3:GetObject",
            "Resource": [
                "arn:aws:s3:::mybucket/block_this_file",
                "arn:aws:s3:::mybucket/block_this_file_too"
            ]
        }
    ]
}

如果您想添加条件以使某些用户仍然可以访问对象，请在资源部分之后添加条件，如下所示。此条件将允许 IAM 用户 john.wayne 和 bob.hope 仍然调用 GetObject。

        "Resource": [
            "arn:aws:s3:::mybucket/block_this_file",
            "arn:aws:s3:::mybucket/block_this_file_too"
        ],
        "Condition": {
            "StringNotEquals": {
                "aws:username": [
                    "john.wayne",
                    "bob.hope"
                ]
            }
        }