AWS 用户与资源权限

Question

当用户对资源具有基于资源的权限但没有对该服务的基于用户的权限时。他可以使用那个服务吗？

示例：用户 Jack 具有使用 S3 存储桶“jamm”的基于资源的权限。但是 Jack 没有使用 S3 的权限。 Jack 可以使用 S3 存储桶吗？

Answer 1

如果您没有访问 S3 服务的权限，则根本无法使用它。

要访问任何 S3 存储桶，您必须具有执行 S3 命令的权限，例如 s3:GetObject。这些权限告诉 AWS 允许用户执行哪些命令。任何未明确允许的内容都会被自动拒绝。

S3 存储桶策略（您的资源级权限）指示 S3 服务允许哪些用户访问该存储桶。但这只会发生在用户被授予执行访问存储桶的 S3 命令所需的权限之后。

所以你需要：

1. 授予用户执行 S3 命令以访问存储桶的权限（默认为无），并且
2. 为存储桶提供策略以限制可以访问该存储桶的用户（默认为 AWS 账户中的任何人）

可以将一些 S3 命令限制在您的存储桶中，因此用户有权执行s3:GetObject（例如），但仅限于您的存储桶。

但是有些命令，比如s3:ListAllMyBuckets不能这样限制。