Tôi cần một người dùng với quyền truy cập đầy đủ Amazon S3 để một xô đơn

Question

Tôi có một foo người dùng với các ưu đãi sau (nó không phải là thành viên của bất kỳ nhóm):

{ 
    "Statement": [ 
    { 
     "Sid": "Stmt1308813201865", 
     "Action": "s3:*", 
     "Effect": "Allow", 
     "Resource": "arn:aws:s3:::bar" 
    } 
    ] 
} 

Đó sử dụng tuy nhiên dường như không thể tải lên hoặc làm nhiều thứ cho đến khi tôi cấp quyền truy cập đầy đủ cho người dùng được xác thực (có thể áp dụng cho bất kỳ ai). Điều này vẫn không cho phép người dùng thay đổi quyền là boto đang ném một lỗi sau khi tải lên khi nó cố gắng làm key.set_acl('public-read').

Lý tưởng nhất người dùng này sẽ có toàn quyền truy cập vào nhóm bar và không có gì khác, tôi đang làm gì sai?

Answer 1

Bạn cần cấp cho quyền sở hữu s3: ListBucket cho chính nhóm đó. Hãy thử chính sách bên dưới.

{ 
    "Statement": [ 
    { 
     "Effect": "Allow", 
     "Action": "S3:*", 
     "Resource": "arn:aws:s3:::bar/*", 
     "Condition": {} 
    }, 
    { 
     "Effect": "Allow", 
     "Action": [ 
     "s3:ListBucket" 
     ], 
     "Resource": "arn:aws:s3:::bar", 
     "Condition": {} 
    } 
    ] 
} 

Answer 2

Bạn có biết về AWS Policy Generator không?

Answer 3

Câu trả lời được lựa chọn không làm việc cho tôi, nhưng điều này đã làm:

{ 
    "Statement": [ 
    { 
     "Action": "s3:*", 
     "Effect": "Allow", 
     "Resource": [ 
     "arn:aws:s3:::my-bucket", 
     "arn:aws:s3:::my-bucket/*" 
     ] 
    } 
    ], 
    "Statement": [ 
    { 
     "Effect": "Allow", 
     "Action": "s3:ListAllMyBuckets", 
     "Resource": "arn:aws:s3:::*" 
    } 
    ] 
} 

Credit: http://mikeferrier.com/2011/10/27/granting-access-to-a-single-s3-bucket-using-amazon-iam/

Answer 4

đó làm việc cho tôi:

{ 
    "Statement": [ 
     { 
      "Effect": "Allow", 
      "Action": [ 
       "s3:ListBucket", 
       "s3:GetBucketLocation", 
       "s3:ListBucketMultipartUploads", 
       "s3:ListBucketVersions" 
      ], 
      "Resource": "arn:aws:s3:::bucket_name_here" 
     }, 
     { 
      "Effect": "Allow", 
      "Action": [ 
       "s3:*Object*", 
       "s3:ListMultipartUploadParts", 
       "s3:AbortMultipartUpload" 
      ], 
      "Resource": "arn:aws:s3:::bucket_name_here/*" 
     } 
    ] 
} 

Answer 5

Nếu bạn đã kéo tóc của bạn ra bởi vì bạn không thể tìm ra lý do tại sao Cyberduck không thể đặt đối tượng ACL nhưng nó hoạt động với một máy khách khác (như Panic Transmit) ở đây là giải pháp:

Bạn cần phải thêm s3:GetBucketAcl vào danh sách hành động của bạn, ví dụ:

{ 
    "Statement": [ 
     { 
      "Sid": "Stmt1", 
      "Action": [ 
       "s3:GetBucketAcl", 
       "s3:ListBucket", 
       "s3:DeleteObject", 
       "s3:GetObject", 
       "s3:GetObjectAcl", 
       "s3:PutObject", 
       "s3:PutObjectAcl" 
      ], 
      "Effect": "Allow", 
      "Resource": "arn:aws:s3:::your-bucket-name" 
     } 
    ] 
} 

Tất nhiên bạn không cần phải làm điều này nếu bạn là ít hạn chế với s3:* nhưng tôi nghĩ rằng đây là tốt để biết.

Answer 6

Có một tài liệu chính thức AWS tại Writing IAM Policies: How to Grant Access to an Amazon S3 Bucket

Chỉ cần sao chép và dán cai trị thích hợp và thay đổi "Resource" chìa khóa để ARN của xô của bạn trong tất cả các báo cáo.

Đối truy cập programamtic chính sách nên được:

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
     { 
      "Effect": "Allow", 
      "Action": ["s3:ListBucket"], 
      "Resource": ["arn:aws:s3:::bar"] 
     }, 
     { 
      "Effect": "Allow", 
      "Action": [ 
       "s3:PutObject", 
       "s3:PutObjectAcl", 
       "s3:GetObject", 
       "s3:GetObjectAcl", 
       "s3:DeleteObject" 
      ], 
      "Resource": ["arn:aws:s3:::bar/*"] 
     } 
    ] 
} 

Và đối với console truy cập truy cập nên là:

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
     { 
      "Effect": "Allow", 
      "Action": [ 
       "s3:GetBucketLocation", 
       "s3:ListAllMyBuckets" 
      ], 
      "Resource": "arn:aws:s3:::bar*" 
     }, 
     { 
      "Effect": "Allow", 
      "Action": ["s3:ListBucket"], 
      "Resource": ["arn:aws:s3:::bar"] 
     }, 
     { 
      "Effect": "Allow", 
      "Action": [ 
       "s3:PutObject", 
       "s3:PutObjectAcl", 
       "s3:GetObject", 
       "s3:GetObjectAcl", 
       "s3:DeleteObject" 
      ], 
      "Resource": ["arn:aws:s3:::bar/*"] 
     } 
    ] 
} 

Answer 7

@ câu trả lời cloudberryman là đúng nhưng tôi thích làm những thứ như ngắn nhất có thể. Câu trả lời này có thể được giảm xuống:

{ 
    "Statement":[ 
     { 
     "Effect":"Allow", 
     "Action":"S3:*", 
     "Resource":[ 
      "arn:aws:s3:::bar", 
      "arn:aws:s3:::bar/*" 
     ] 
     } 
    ] 
}