AWS API Gateway Lambda 授权者是否可以授予资源来访问 S3

Question

我有一个AWS API Gateway Lambda Authorizer，它根据用户权限构建策略。目前，它允许该特定用户执行 GET /users 端点：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "execute-api:Invoke"
            ],
            "Resource": "arn:aws:execute-api:{region}:{aws-id}:{api-id}/*/GET/users",
            "Effect": "Allow"
        }
    ]
}

我还希望执行的 lambda 函数能够在我的 s3 存储桶上执行 GetObject 操作，任何想法为什么以下不起作用：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "execute-api:Invoke"
            ],
            "Resource": "arn:aws:execute-api:{region}:{aws-id}:{api-id}/*/GET/users",
            "Effect": "Allow"
        },
        {
            "Action": [
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::{bucket-name}/*"
            ],
            "Effect": "Allow"
        }
    ]
}

这里的关键这些权限是特定于用户的，因此我希望根据用户权限为每个端点构建权限。