如何删除“删除” Amazon S3 上的权限

Question

在 Amazon S3 控制台中，我只看到“上传/删除”的权限选项。有没有办法允许上传但不允许删除？

Answer 1

您直接在 AWS 管理控制台 中看到的权限基于初始且相对简单的 可用于 S3 的访问控制列表 (ACL)，本质上是区分读取和写入权限，请参阅指定权限：

• READ - 允许受让人列出存储桶中的对象
• WRITE - 允许受让人创建、覆盖和删除
  桶

桶策略（应用于存储桶级别）和 IAM策略（应用于用户级别的权限），并且所有三个也可以一起使用（这可能会变得相当复杂，如下所述），请参阅整个图片的访问控制。

您的用例可能需要相应的存储桶策略，您也可以直接从 S3 控制台添加该策略。单击添加存储桶策略将打开存储桶策略编辑器，其中包含指向几个示例以及强烈推荐的AWS 策略生成器，它允许您组合针对您的使用案例的策略。

对于其他锁定的存储桶，最简单的形式可能如下所示（请确保根据您的需求调整主体和资源）：

{
  "Statement": [
    {
      "Action": [
        "s3:PutObject"
      ],
      "Effect": "Allow",
      "Resource": "arn:aws:s3:::<bucket_name>/<key_name>",
      "Principal": {
        "AWS": [
          "*"
        ]
      }
    }
  ]
}

根据您的用例，您可以轻松通过组合各种允许和拒绝操作等来制定相当复杂的策略 - 这显然也会产生无意的权限，因此正确的测试像往常一样是关键；因此，请注意使用同时使用 ACL 和存储桶策略时的影响 或 IAM 和存储桶策略一起。

最后，您可能还想看看我对在简单的 AWS 用户策略中指定单个存储桶的问题的回答，它解决了另一个常见的策略陷阱。

Answer 2

您可以将禁止删除策略附加到您的 s3 存储桶。例如，如果您不希望该 IAM 用户对任何存储桶或任何对象执行任何删除操作，您可以设置如下内容：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Stmt1480692207000",
            "Effect": "Deny",
            "Action": [
                "s3:DeleteBucket",
                "s3:DeleteBucketPolicy",
                "s3:DeleteBucketWebsite",
                "s3:DeleteObject",
                "s3:DeleteObjectVersion"
            ],
            "Resource": [
                "arn:aws:s3:::*"
            ]
        }
    ]
}

此外，您可以使用策略模拟器检查您的策略 https://policysim.aws.amazon.com 检查您的设置是否符合您的预期。

希望这有帮助！

Answer 3

这很完美。感谢 Pung Worathiti Manosroi。结合他提到的政策如下：

{    

"Statement": [    

    {
        "Effect": "Allow",
        "Action": [
            "s3:GetObject",
            "s3:PutObject",
            "s3:GetObjectAcl",
            "s3:PutObjectAcl",
            "s3:ListBucket",
            "s3:GetBucketAcl",
            "s3:PutBucketAcl",
            "s3:GetBucketLocation"
        ],
        "Resource": "arn:aws:s3:::mybucketname/*",
        "Condition": {}
    },
    {
        "Effect": "Allow",
        "Action": "s3:ListAllMyBuckets",
        "Resource": "*",
        "Condition": {}
    },
    {
        "Effect": "Deny",
        "Action": [
            "s3:DeleteBucket",
            "s3:DeleteBucketPolicy",
            "s3:DeleteBucketWebsite",
            "s3:DeleteObject",
            "s3:DeleteObjectVersion"
        ],
        "Resource": "arn:aws:s3:::mybucketname/*",    

        "Condition": {}    

    }
]
}    

Answer 4

是的，s3:DeleteObject 是一个选项：

http://docs.aws.amazon.com/AmazonS3/latest/dev/using-with-s3-actions.html

但是，更改现有对象之间没有区别（这会导致允许有效删除它）并创建一个新对象。