Amazon S3 存储桶策略，我做错了什么？

Question

我使用Policy Generator 为我的存储桶创建了一个简单的规则；规则应允许以下预期效果：

• root 访问权限
• 限制对给定 IAM 用户的访问
• 允许所有人只读访问

为此，我编写了以下规则，但没有按预期工作，特别是，我完全失去了对存储桶元素的访问权限，在所有情况下都“拒绝访问”，包括根：

编辑：使用@jarmod 回答我可以设置预期的功能，但是它会触发警告，关于存储桶是公开的，我没有看到没有策略的区别，存储桶仍然以只读方式公开访问。有什么区别？

Answer 1

也许你可以这样做：

1. 对于所有用户，允许操作 s3:GetObject
2. 对于除 root 和您的特定 IAM 用户之外的所有用户，拒绝除 s3:GetObject 之外的所有操作

您可以使用类似这样的策略来做到这一点：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "s3:GetObject",
            "Resource": [
                "arn:aws:s3:::mybucket/*"
            ]
        },
        {
            "Effect": "Deny",
            "Principal": "*",
            "NotAction": "s3:GetObject",
            "Resource": [
                "arn:aws:s3:::mybucket/*"
            ],
            "Condition": {
                "StringNotLike": {
                    "aws:userId": [
                        "iam-userid-here",
                        "root-userid-here"
                    ]
                }
            }
        }
    ]
}

要获取 iam-userid-here，请运行 aws iam list-users 并检索 IAM 用户的 UserId。

同样，要获得root-userid-here，只需从先前aws iam list-users 输出的Arn 中检索帐号。根账户 userId 是 AWS 账号。

iam-userid-here 指示的 IAM 用户随后可以拥有允许 S3 访问的 IAM 策略。