在简单的 AWS 用户策略中指定单个存储桶时出现问题

Question

我正在使用 AWS IAM STS（通过 boto）创建用于访问 S3 存储桶的凭证。我不知道以下政策有什么问题。我已经尽可能简化了我的政策，但仍然得到了意想不到的结果。

当我获得用户的令牌时，我附加以下策略：

user_policy_string = r'{"Statement":[{"Effect":"Allow","Action": "s3:*","Resource":"arn:aws:s3:::*"}]}'

这有效，但显然有点过于宽松。在缩小与这些凭据关联的权限范围时，我尝试使用相同的策略，但指定存储桶：

user_policy_string = r'{"Statement":[{"Effect":"Allow","Action": "s3:*","Resource":"arn:aws:s3:::buck_binary_bucket_bay-earth-d5a/*"}]}'

当我尝试访问 S3 时，出现 403 错误。根据AWS文档，我确信这是解决策略中特定存储桶的方法，所以我不知道是什么导致了这种限制。我是否错误地提到了桶？

在 S3 控制台中，策略为空（也尝试添加完全宽松的策略）。对于用于生成STS令牌的AWS账户，策略如下：

  "Statement": [
    {
      "Effect": "Allow",
      "Action": "sts:GetFederationToken",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "iam:GetUser",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "s3:*",
      "Resource": "*"
    }
  ]
}

Answer 1

当我尝试访问 S3 时，出现 403 错误。

您实际上如何尝试访问 S3，即通过哪种工具、服务、API？

通常，用例涉及 S3 API 调用，除了策略已定位的资源之外，还可以处理不同的资源类型。具体来说，您需要了解服务上的操作之间的差异（例如 < a href="http://docs.amazonwebservices.com/AmazonS3/2006-03-01/API/SOAPListAllMyBuckets.html">ListAllMyBuckets), 存储桶上的操作（例如 ListBucket）和 对对象的操作（例如 GetObject）。

如果您的 S3 访问方法还隐式使用任何其他资源类型（即除了您已经通过 buck_binary_bucket_bay-earth-d5a/* 寻址的对象资源之外），则这些需要相应的附加策略。例如，在访问对象本身之前能够通过 ListBucket 列出存储桶中的对象的常见要求将需要一个相应的策略片段来寻址存储桶，如下所示：

   "Statement":[{
      "Effect":"Allow",
      "Action":"s3:ListBucket",
      "Resource":"arn:aws:s3:::buck_binary_bucket_bay-earth-d5a",
      }
   ]