基于 IAM 用户标签限制 S3 访问（前缀）的 AWS IAM 策略

Question

各种 IAM 用户正在共享对 S3 存储桶的访问权限。 S3 存储桶具有按用户分隔的内容，因此每个用户都有他们可以访问的唯一区域。

例如：

• S3 存储桶：example-bucket。
• IAM 用户：UserOne。该用户被标记为sampleTag=u11111。
• IAM 用户：UserTwo。该用户被标记为sampleTag=u22222。
• 更多标记的 IAM 用户。

我想编写这样的 IAM 政策：

• UserOne 有权读取和写入 s3://example-bucket/u11111/* 的内容并从 s3://example-bucket/config/u11111/ 读取内容
• UserTwo 可以对s3://example-bucket/u22222/* 的内容进行读+写，并从s3://example-bucket/config/u22222/ 中读取内容
• 等等……

请注意，S3 键在路径中包含 sampleTag 的值。

我希望能够将此单一策略应用于整个 IAM 用户组，而无需为每个用户添加单独的策略。

由于${aws:PrincipalTag/sampleTag} 我认为这会在资源字符串中的该位置注入标签值，因此我希望这是可能的。但是在玩了策略模拟器之后，它似乎并没有做到这一点。

当前政策如下：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListAllMyBuckets"
            ],
            "Resource": "arn:aws:s3:::*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Resource": [
                "arn:aws:s3:::example-bucket",
                "arn:aws:s3:::example-bucket-test"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::example-bucket",
                "arn:aws:s3:::example-bucket-test"
            ],
            "Condition": {
                "StringEquals": {
                    "s3:prefix": [
                        "",
                        "${aws:PrincipalTag/sampleTag}/"
                    ],
                    "s3:delimiter": ["/"]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::example-bucket",
                "arn:aws:s3:::example-bucket-test"
            ],
            "Condition": {
                "StringLike": {
                    "s3:prefix": ["${aws:PrincipalTag/sampleTag}/*"]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:GetObjectAcl",
                "s3:GetObjectVersion",
                "s3:GetObjectVersionAcl"
            ],
            "Resource": [
                "arn:aws:s3:::example-bucket/config/${aws:PrincipalTag/sampleTag}/*",
                "arn:aws:s3:::example-bucket-test/config/${aws:PrincipalTag/sampleTag}/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:GetObjectAcl",
                "s3:GetObjectVersion",
                "s3:GetObjectVersionAcl",
                "s3:DeleteObject"
            ],
            "Resource": [
                "arn:aws:s3:::example-bucket/${aws:PrincipalTag/sampleTag}/*",
                "arn:aws:s3:::example-bucket-test/${aws:PrincipalTag/sampleTag}/*"
            ]
        }
    ]
}

我认为最后两个策略不起作用。我找不到文档来说明是否可以将变量嵌入到 Resource 字符串中，但 s3:prefix 似乎不适用于 GetObject 或 PutObject 操作——所以我不确定如何限制这些权限的范围。

任何关于错误或如何完成此任务的想法都将不胜感激！

Answer 1

你是对的，最后两个策略不起作用。

根据documentation aws:PrincipalTag/tag-key 与string operators一起使用，因此aws:PrincipalTag/tag-key 的使用将仅在Condition 策略元素内有效。

另外，s3:prefix 条件键仅适用于 ListBucket 和 ListBucketVersions 操作：https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazons3.html#amazons3-policy-keys

Answer 2

我认为可以在策略的 Ressource 属性中使用 ${aws:PrincipalTag}。只需查看 IAM 的docs。该示例使用 PrincipalTag 作为 Ressource 值的最后一部分。

（只需使用 Strg + F 并在文档网站上输入 PrincipalTag 即可找到示例）

Answer 3

您可以将 PrincipalTag 作为资源的一部分。 这行得通。

    {
        "Sid": "FullPermissionOnlyForPrefix",
        "Effect": "Allow",
        "Action": "s3:*",
        "Resource": [
            "arn:aws:s3:::mybucket/${aws:PrincipalTag/team}*",
            "arn:aws:s3:::mybucket/${aws:PrincipalTag/team}/*"
        ]
    }