为什么 aws:userid 不能按照 s3 存储桶策略示例工作？

Question

我因以下政策而被拒绝访问：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "InsideUserBucket",
      "Effect": "Allow",
      "Action": [
        "s3:*"
      ],
      "Resource": [
        "arn:aws:s3:::cbd-backup-us-east-1/${aws:userid}", "arn:aws:s3:::cbd-backup-us-east-1/${aws:userid}/*"
      ]
    },
    {
      "Sid": "ListBucketPolicy",
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::cbd-backup-us-east-1"
      ],
      "Condition": {"StringLike": {"s3:prefix": ["${aws:userid}/*"]}}
    }
  ]
}

我正在使用成功连接的客户端“m_client”通过 .NET AWSSDK 进行连接，该客户端使用 IAM 用户凭证进行连接。用户在一个组中，并且该组具有上述策略。我没有使用 ACL。我试过不设置前缀。

            ListObjectsRequest listRequest = new ListObjectsRequest();
            listRequest.BucketName = "cbd-backup-us-east-1";
            listRequest.Prefix = "AKIAJ5GQCDM2IBBVJNWA/";

            using (ListObjectsResponse listResponse = m_client.ListObjects(listRequest))
            {
                ...
            }

我可以让它工作的唯一方法是手动将用户 ID 放入策略中以代替 ${aws:userid}，或者对所有内容进行通配符，以便用户可以访问任何存储桶。我已验证我的存储桶存在并且没有附加任何政策。

似乎 aws 可能没有正确扩展 ${aws:userid} 变量，但我想不出一种调试方法。有什么想法吗？

Answer 1

您的 listRequest.Prefix 已设置为访问密钥 (AKIAJ5GQCDM2IBBVJNWA)。

但是，{aws:userid} 解析为用户 ID，这将是您的 IAM 用户的友好名称（例如“Ryan”）。

所以，只需设置listRequest.Prefix='Ryan/'。

Answer 2

这似乎是 AWS 文档中的一个错字。设置策略时，您需要使用aws:userId（注意大写I）。所以你的条件语句应该是：

"Condition": {"StringLike": {"s3:prefix": ["${aws:userId}/*"]}}