Jak zezwolić użytkownikowi na przesyłanie plików do segmentu S3, ale nie nadpisywać ani nie usuwać?

Mam następujące zasady IAM dla użytkownika

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Stmt1395161912000",
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket",
        "s3:PutObject",
        "s3:*"
      ],
      "Resource": [
        "arn:aws:s3:::bucketname"
      ]
    },
    {
      "Sid": "list",
      "Effect": "Allow",
      "Action": [
        "s3:ListAllMyBuckets"
      ],
      "Resource": [
        "arn:aws:s3:::*"
      ]
    }
  ]
}

Celem jest umożliwienie użytkownikowi przesyłania plików do segmentu, ale nie nadpisywania ani usuwania. To jest kopia zapasowa. Zacząłem od ListBucketi PutObject, ale dodałem, *ponieważ to nie zadziałało. Nawet nie *pozwala użytkownikowi na przesyłanie plików, tylko pobieranie Access Denied.

Kiedy próbuję symulatora, wraca Denied - Implicitly denied (no matching statements found).do ListBucket, co wydaje się dziwne, ponieważ domyślnie na to pozwoliłem.

Próbowałem zarówno Cyberduck, jak i 3Hub jako klienci S3.

Masz pojęcie, co jest nie tak?

Tworząc zasady Amazon IAM dla Amazon S3 , musisz zdawać sobie sprawę z różnicy między operacjami na usłudze (np. ListAllMyBuckets ), operacjami na wiadrach (np. ListBucket ) i operacjami na obiektach (np. GetObject ).

W szczególności Resourcespecyfikacja Twojej polityki musi dotyczyć odpowiednich podmiotów docelowych zgodnie z następującymi wzorami (patrz np. Różne przykładowe zasady dla Amazon S3 ):

• Operacje w serwisie - arn:aws:s3:::*
• Operacje na wiadrach - arn:aws:s3:::<bucket>
• Operacje na obiektach - arn:aws:s3:::<bucket>/<object>

Rozwiązanie

Występuje Access Denied, ponieważ określono zasób na poziomie segmentu PutObject, który wymaga specyfikacji zasobu na poziomie obiektu, takiej jak arn:aws:s3:::<bucket>/*- w związku z tym następujące zasady powinny obejmować przykładowy przypadek użycia:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListAllMyBuckets"
      ],
      "Resource": [
        "arn:aws:s3:::*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::bucketname"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutObject"
      ],
      "Resource": [
        "arn:aws:s3:::bucketname/*"
      ]
    }
  ]
}