如果存在特定标签，则拒绝删除 S3 存储桶

Question

如果存在特定标签，我正在尝试构建一个拒绝删除 S3 存储桶的策略。 我的想法是，如果 S3 存储桶有标签（例如）：

键：prevent_delete 值：真

有人试图删除存储桶，拒绝该权限。到目前为止，这是我一直在测试的策略：

{
            "Sid": "VisualEditor3",
            "Effect": "Deny",
            "Action": "s3:DeleteBucket",
            "Resource": "*",
            "Condition": {
                "Null": {
                    "aws:RequestTag/prevent_delete": "true"
                }
            }
        }

但仍然允许删除 S3 存储桶，即使 S3 存储桶上存在标签。 我想知道 AWS 是否支持由特定标签定义的此操作。 在这种情况下，有人可以帮我怎么做吗？

谢谢

Answer 1

很遗憾，这是不可能的。仅对象支持基于标签的 IAM 策略，而不支持存储桶。来自docs：

Amazon S3 支持仅对象资源的基于标签的授权。

您必须重新编写策略以仅处理对象，而不是存储桶本身。