Làm cách nào để cho phép người dùng tải tệp lên thùng S3, nhưng không ghi đè hoặc xóa?

Tôi có chính sách IAM sau đây cho người dùng

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Stmt1395161912000",
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket",
        "s3:PutObject",
        "s3:*"
      ],
      "Resource": [
        "arn:aws:s3:::bucketname"
      ]
    },
    {
      "Sid": "list",
      "Effect": "Allow",
      "Action": [
        "s3:ListAllMyBuckets"
      ],
      "Resource": [
        "arn:aws:s3:::*"
      ]
    }
  ]
}

Mục tiêu là để cho phép người dùng tải tệp lên thùng, nhưng không ghi đè hoặc xóa. Đó là để sao lưu. Tôi đã bắt đầu với ListBucketvà PutObject, nhưng thêm vào *vì nó không hoạt động. Thậm chí không *cho phép người dùng tải lên các tập tin, chỉ nhận được Access Denied.

Khi tôi cố gắng Simulator, nó sẽ trả về Denied - Implicitly denied (no matching statements found).cho ListBucket, mà có vẻ kỳ lạ kể từ khi tôi đã mặc nhiên cho phép đó.

Tôi đã thử cả Cyberduck và 3Hub với tư cách là khách hàng S3.

Bất cứ ý tưởng những gì sai?

Khi xây dựng các chính sách IAM của Amazon cho Amazon S3 , bạn cần nhận thức được sự khác biệt giữa các Hoạt động trên Dịch vụ (ví dụ: ListAllMyBuckets ), Hoạt động trên các thùng (ví dụ như ListBucket ) và Hoạt động trên các đối tượng (ví dụ GetObject ).

Cụ thể, Resourceđặc điểm kỹ thuật của chính sách của bạn cần giải quyết các thực thể mục tiêu phù hợp theo các mẫu sau (xem ví dụ: Chính sách ví dụ khác nhau cho Amazon S3 ):

• Hoạt động trên dịch vụ - arn:aws:s3:::*
• Hoạt động trên xô - arn:aws:s3:::<bucket>
• Hoạt động trên các đối tượng - arn:aws:s3:::<bucket>/<object>

Dung dịch

Bạn đang gặp phải Access Denied, bởi vì bạn đã chỉ định tài nguyên cấp độ nhóm cho PutObject, yêu cầu một đặc tả tài nguyên cấp đối tượng như arn:aws:s3:::<bucket>/*- theo đó, chính sách sau sẽ bao gồm trường hợp sử dụng mẫu của bạn:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListAllMyBuckets"
      ],
      "Resource": [
        "arn:aws:s3:::*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::bucketname"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutObject"
      ],
      "Resource": [
        "arn:aws:s3:::bucketname/*"
      ]
    }
  ]
}