仅向一位 IAM 用户授予对 Amazon S3 存储桶的访问权限

Question

我希望有一个只有一个 IAM 用户可以使用 AWS 控制台访问的存储桶，列出其内容并访问其中的对象文件。

所以，我已经创建了 IAM 用户、存储桶本身以及以后：

桶策略如下：

{
        "Version": "2012-10-17",
        "Statement": [
            {
                "Sid": "statement1",
                "Effect": "Allow",
                "Principal": {
                    "AWS": "arn:aws:iam::0000000:user/dave"
                },
                "Action": [
                    "s3:GetBucketLocation",
                    "s3:ListBucket"
                ],
                "Resource": "arn:aws:s3:::testbucket1234"
            },
            {
                "Sid": "statement2",
                "Effect": "Allow",
                "Principal": {
                    "AWS": "arn:aws:iam::0000000:user/dave"
                },
                "Action": "s3:GetObject",
                "Resource": "arn:aws:s3:::testbucket1234/*"
            }
        ]
    }

还有一个附加到我的用户组的内联策略，如下所示：

    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "s3:*Object",
                "s3:PutObject"
            ],
            "Resource": "arn:aws:s3:::testbucket1234/*"
        },
        {
            "Sid": "VisualEditor1",
            "Effect": "Allow",
            "Action": "s3:ListAllMyBuckets",
            "Resource": "*"
        }
    ]
}

现在：我可以列出我的存储桶、访问所需的存储桶、列出其内容（到目前为止一切顺利）。问题是当我尝试打开存储桶内的一个文件对象时，我收到“拒绝访问”错误。如果我将对象公开，我可以访问它，但我也可以使用其他 IAM 帐户访问它，这不是本意。我只想通过使用此特定 IAM 帐户来访问存储桶、列出其内容和访问对象。我究竟做错了什么？我怎样才能达到这个目标？提前致谢。

Answer 1

默认情况下，没有 IAM 用户可以访问任何存储桶。只有授予用户权限，他们才能访问资源。

但是，许多人倾向于授予 Amazon S3 对所有存储桶的权限，至少对管理员而言是这样。这使得 删除 权限变得困难，因此一个存储桶只能由一个用户访问。虽然可以使用 Deny 策略来完成，但此类策略很难正确制定。

对于特定数据只能由一个用户或一组特定用户（例如 HR 员工）访问的情况，我建议您创建一个单独的 AWS 账户并仅向特定 IAM 用户或通过存储桶策略 的 IAM 组（跨账户运行良好）。这样，任何授予“所有存储桶”访问权限的通用策略都不会应用于此单独帐户中的存储桶。

---

更新：访问私有对象

扩展以下 cmets 中提到的内容，授权用户可以访问 Amazon S3 中的私有对象。但是，在访问对象时，需要识别谁正在访问该对象，并且必须证明他们的身份。这可以通过以下几种方式之一完成：

• 在 Amazon S3 管理控制台 中，使用 打开 命令（在 操作 菜单中）。这将使用预签名 URL 打开对象，该 URL 根据登录控制台的用户授权访问。 下载选项使用相同的方法。
• 使用AWS Command-Line Interface (CLI)，您可以下载对象。 AWS CLI 需要预先配置您的 IAM 安全凭证以证明您的身份。
• 使用 AWS SDK 的程序可以使用其 IAM 安全凭证访问 S3 对象。事实上，AWS CLI 只是一个使用 AWS 开发工具包的 Python 程序。
• 如果您想通过 URL 访问对象，应用程序可以生成 Amazon S3 pre-signed URLs。此 URL 包括用户的身份和安全签名，该签名允许在有限的时间段内（例如 5 分钟）访问私有对象。当 Web 应用程序想要授予对私有对象（例如文档或照片）的访问权限时，通常使用此方法。当用户选择 Actions/Open 时，S3 管理控制台实际上使用此方法，以便用户可以在浏览器中查看私有对象。