Wie kann der Benutzer Dateien in den S3-Bucket hochladen, aber nicht überschreiben oder löschen?

Ich habe die folgenden IAM-Richtlinien für einen Benutzer

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Stmt1395161912000",
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket",
        "s3:PutObject",
        "s3:*"
      ],
      "Resource": [
        "arn:aws:s3:::bucketname"
      ]
    },
    {
      "Sid": "list",
      "Effect": "Allow",
      "Action": [
        "s3:ListAllMyBuckets"
      ],
      "Resource": [
        "arn:aws:s3:::*"
      ]
    }
  ]
}

Das Ziel ist es, den Benutzer Dateien in den Bucket hochladen zu lassen, aber nicht zu überschreiben oder zu löschen. Es ist für die Sicherung. Ich habe mit ListBucketund angefangen PutObject, aber hinzugefügt, *da es nicht funktioniert hat. *Lässt den Benutzer nicht einmal Dateien hochladen, sondern nur abrufen Access Denied.

Wenn ich den Simulator ausprobiere, kehrt er Denied - Implicitly denied (no matching statements found).für zurück ListBucket, was seltsam erscheint, da ich das implizit erlaubt habe.

Ich habe sowohl Cyberduck als auch 3Hub als S3-Clients ausprobiert.

Irgendeine Idee, was los ist?

Wenn Sie Amazon IAM- Richtlinien für Amazon S3 erstellen, müssen Sie den Unterschied zwischen Vorgängen für den Dienst (z. B. ListAllMyBuckets ), Vorgängen für Buckets (z. B. ListBucket ) und Vorgängen für Objekte (z . B. GetObject ) berücksichtigen .

Insbesondere muss die ResourceSpezifikation Ihrer Richtlinie die entsprechenden Zieleinheiten gemäß den folgenden Mustern adressieren (siehe z. B. die verschiedenen Beispielrichtlinien für Amazon S3 ):

• Serviceeinsätze - arn:aws:s3:::*
• Operationen an Eimern - arn:aws:s3:::<bucket>
• Operationen an Objekten - arn:aws:s3:::<bucket>/<object>

Lösung

Das Problem tritt auf Access Denied, weil Sie eine Ressource auf Bucket-Ebene für angegeben haben PutObject, für die eine Ressourcenspezifikation auf Objektebene erforderlich ist. arn:aws:s3:::<bucket>/*Dementsprechend sollte die folgende Richtlinie Ihren Beispielanwendungsfall abdecken:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListAllMyBuckets"
      ],
      "Resource": [
        "arn:aws:s3:::*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::bucketname"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutObject"
      ],
      "Resource": [
        "arn:aws:s3:::bucketname/*"
      ]
    }
  ]
}