我以前从未使用过AWS S3。我们使用它来自动备份客户端的通话记录。我们其中一位出于审计目的的客户需要访问他们的录音。
我正在使用客户端CyberDuck作为访问文件的方式。
我只想让他们访问他们的文件。
我们的文件结构如下：
recordings/12345/COMPANYNAMEHERE/
我刚刚了解到您是根据脚本和策略构建并执行操作的。因此，我进行了一些研究，并试图建立一个研究，但是我的访问被拒绝。
只是好奇我是否能正确解决这个问题。
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "s3:ListAllMyBuckets",
"Resource": "arn:aws:s3:::*"
},
{
"Effect": "Allow",
"Action": "s3:*",
"Resource": [
"arn:aws:s3:::recordings/12345/COMPANYNAMEHERE",
"arn:aws:s3:::recordings/12345/COMPANYNAMEHERE/*"
]
}
]
}
您只授予他们对的许可ListAllMyBuckets，这意味着他们只能列出您的存储桶的名称，而不能做其他任何事情。
如果您已经为他们创建了IAM用户，那么给他们提供此策略将允许他们列出和检索他们的文件，但只能从给定目录（或更准确地说，使用给定前缀）：
{
"Version": "2012-10-17",
"Statement": [
{
"Action": [
"s3:ListBucket"
],
"Effect": "Allow",
"Resource": [
"arn:aws:s3:::my-bucket"
],
"Condition": {
"StringLike": {
"s3:prefix": [
"recordings/123/*"
]
}
}
},
{
"Action": [
"s3:GetObject"
],
"Effect": "Allow",
"Resource": [
"arn:aws:s3:::my-bucket/recordings/123/*"
]
}
]
}
如果您对客户经常执行此操作，则可以使用IAM策略变量来创建替换其用户名的规则：
{
"Version": "2012-10-17",
"Statement": [
{
"Action": [
"s3:ListBucket"
],
"Effect": "Allow",
"Resource": [
"arn:aws:s3:::my-bucket"
],
"Condition": {
"StringLike": {
"s3:prefix": [
"recordings/${aws:username}/*"
]
}
}
},
{
"Action": [
"s3:GetObject"
],
"Effect": "Allow",
"Resource": [
"arn:aws:s3:::my-bucket/recordings/${aws:username}/*"
]
}
]
}
本文收集自互联网，转载请注明来源。
如有侵权，请联系 [email protected] 删除。
我来说两句