จะให้ผู้ใช้อัพโหลดไฟล์ไปที่ถัง S3 แต่ไม่เขียนทับหรือลบได้อย่างไร

ฉันมีนโยบาย IAM ต่อไปนี้สำหรับผู้ใช้

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Stmt1395161912000",
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket",
        "s3:PutObject",
        "s3:*"
      ],
      "Resource": [
        "arn:aws:s3:::bucketname"
      ]
    },
    {
      "Sid": "list",
      "Effect": "Allow",
      "Action": [
        "s3:ListAllMyBuckets"
      ],
      "Resource": [
        "arn:aws:s3:::*"
      ]
    }
  ]
}

เป้าหมายคือเพื่อให้ผู้ใช้อัปโหลดไฟล์ไปยังที่ฝากข้อมูล แต่ไม่เขียนทับหรือลบ มันสำหรับการสำรองข้อมูล ฉันเริ่มต้นด้วยListBucketและPutObjectแต่เพิ่ม*เมื่อมันไม่ทำงาน ไม่ได้ช่วยให้ผู้ใช้อัปโหลดไฟล์เพียงแค่ได้รับ*Access Denied

เมื่อฉันลองใช้ Simulator มันจะกลับDenied - Implicitly denied (no matching statements found).มาListBucketซึ่งดูเหมือนแปลกเพราะฉันอนุญาตโดยปริยาย

ฉันได้ลองทั้ง Cyberduck และ 3Hub เป็นลูกค้า S3

มีความคิดอะไรผิดหรือเปล่า?

เมื่อกำหนดนโยบายAmazon IAMสำหรับAmazon S3คุณต้องระวังความแตกต่างระหว่างการดำเนินการกับบริการ (เช่นListAllMyBuckets ) การดำเนินการกับถัง (เช่นListBucket ) และการดำเนินการกับวัตถุ (เช่นGetObject )

โดยเฉพาะอย่างยิ่งResourceข้อมูลจำเพาะของนโยบายของคุณต้องระบุเอนทิตีเป้าหมายที่เหมาะสมตามรูปแบบต่อไปนี้ (ดูตัวอย่างนโยบายตัวอย่างสำหรับ Amazon S3 ):

• การดำเนินงานเกี่ยวกับการบริการ - arn:aws:s3:::*
• การดำเนินงานเกี่ยวกับที่เก็บ - arn:aws:s3:::<bucket>
• การดำเนินงานเกี่ยวกับวัตถุ - arn:aws:s3:::<bucket>/<object>

วิธีการแก้

คุณกำลังเผชิญหน้าAccess Deniedเนื่องจากคุณได้ระบุทรัพยากรระดับฝากข้อมูลPutObjectซึ่งต้องการข้อกำหนดคุณสมบัติทรัพยากรระดับวัตถุเช่นarn:aws:s3:::<bucket>/*- ดังนั้นนโยบายต่อไปนี้ควรครอบคลุมกรณีการใช้ตัวอย่างของคุณ:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListAllMyBuckets"
      ],
      "Resource": [
        "arn:aws:s3:::*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::bucketname"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutObject"
      ],
      "Resource": [
        "arn:aws:s3:::bucketname/*"
      ]
    }
  ]
}