Esiste una policy S3 per limitare l'accesso a solo vedere / accedere a un bucket?

Ho un semplice bucket che assomiglia al images.mysite.commio S3 e altri bucket contenenti backup, ecc.

Desidero consentire a un utente specifico di accedere al images.mysite.combucket per caricare le immagini. Tuttavia, NON voglio che veda nessuno degli altri secchi; nemmeno che esistono.

Non potrei fare una politica che faccia questo; ogni volta che provo qualcosa di restrittivo, finisce per bloccare l'elenco di eventuali bucket.

L'ho provato per un po 'e alla fine ho trovato una soluzione funzionante. Devi utilizzare "Risorse" diverse a seconda del tipo di azione che stai eseguendo. Inoltre ho incluso alcune azioni mancanti nella risposta precedente (mi piace DeleteObject) e limitandone altre (mi piace PutBucketAcl).

La seguente policy IAM ora funziona per me:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket",
        "s3:GetBucketLocation",
        "s3:ListBucketMultipartUploads"
      ],
      "Resource": "arn:aws:s3:::itnighq",
      "Condition": {}
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:AbortMultipartUpload",
        "s3:DeleteObject",
        "s3:DeleteObjectVersion",
        "s3:GetObject",
        "s3:GetObjectAcl",
        "s3:GetObjectVersion",
        "s3:GetObjectVersionAcl",
        "s3:PutObject",
        "s3:PutObjectAcl",
        "s3:PutObjectVersionAcl"
      ],
      "Resource": "arn:aws:s3:::itnighq/*",
      "Condition": {}
    },
    {
      "Effect": "Allow",
      "Action": "s3:ListAllMyBuckets",
      "Resource": "*",
      "Condition": {}
    }
  ]
}

Le azioni riguardanti un secchio e quelle riguardanti gli oggetti devono avere arn differenti.

Il nostro caso d'uso: fornire spazio di backup per i client della nostra applicazione cloud a cui possono accedere i client direttamente utilizzando gli strumenti S3 comuni. Ovviamente, nessun cliente dovrebbe vedere cosa hanno gli altri clienti.

Come ha spiegato cloudberryman, "Puoi elencare tutti i bucket o nessuno.", Quindi dobbiamo trovare una soluzione. Sfondo:

La concessione dei diritti ListAllMyBuckets all'utente è necessaria affinché la console AWS S3 o S3Fox si colleghino senza un messaggio di errore. Ma ListAllMyBuckets elenca tutti i bucket, indipendentemente dalle risorse assegnate (in realtà, solo arn: ... ::: * funziona). È un bug serio, se me lo chiedi. Btw. negare ListBucket per tutti i bucket non impedisce che vengano elencati, poiché ListBucket concede i diritti per elencare il contenuto del bucket.

Ci sono 3 possibilità che ho considerato come soluzione. Ho scelto l'ultima.

(1) utilizzare nomi di bucket criptici, ad esempio GUID

Vantaggio: facile da configurare

Svantaggio: difficile da gestire, soprattutto per il cliente. (immagina di trovare un GUID specifico tra migliaia di altri.) Mostra anche il numero di bucket = numero di client che utilizzano il servizio di backup.

(2) utilizzare un bucket con cartelle specifiche del cliente

Questo è il modo in cui Amazon suggerisce dai suoi esempi S3 / IAM di fornire spazio per l'accesso solo da parte di determinati utenti o gruppi di utenti. Vedi: Esempi di policy IAM di AWS

Vantaggio: abbastanza facile da configurare, va con le idee AWS

Svantaggio: obbliga a rendere pubblica l'esistenza di tutti i bucket, in modo che il cliente possa trovare il bucket "di casa". La contabilità AWS fornisce statistiche sull'utilizzo del bucket, ma non sull'utilizzo delle cartelle, il che rende difficile calcolare i costi in base al cliente.

(3) non concedere il diritto di accesso per ListAllMyBuckets

Vantaggio: ottieni ciò che desideri: i clienti non possono vedere i bucket degli altri clienti

Svantaggio: il cliente non può vedere il proprio secchio. S3Browser viene fornito con un simpatico messaggio "impossibile da fare" e chiede di inserire il nome del bucket. S3Fox genera un messaggio di errore durante la connessione alla radice, ma consente la navigazione diretta al bucket del client se il nome del bucket è noto. La console Amazon S3 non funziona affatto.

Spero che questo ti abbia aiutato a gestire S3 IAM come ti serve.

Non è possibile fornire l'accesso alla console S3 senza concedere l' ListAllMyBucketsautorizzazione.

Nel mio caso (e forse anche nel tuo, futuro lettore) un'alternativa accettabile è reindirizzare gli utenti all'accesso direttamente al bucket che vorresti che vedessero.

A tale scopo, aggiungi quanto segue all'URL di accesso IAM: /s3/?bucket=bucket-name

URL di accesso completo (sostituisci il tuo alias e il nome del bucket ):

https://your-alias.signin.aws.amazon.com/console/s3/?bucket=bucket-name

Criterio IAM (sostituire il nome del bucket ):

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:ListAllMyBuckets",
            "Resource": "arn:aws:s3:::*"
        },
        {
            "Effect": "Allow",
            "Action": "s3:*",
            "Resource": [
                "arn:aws:s3:::bucket-name",
                "arn:aws:s3:::bucket-name/*"
            ]
        }
    ]
}

Per ulteriori informazioni su come creare autorizzazioni specifiche per i bucket per gli utenti, leggi questo blog: http://mikeferrier.com/2011/10/27/granting-access-to-a-single-s3-bucket-using-amazon-iam /

Prova questa politica. Inoltre, tieni presente che non è possibile lasciare nell'elenco utenti solo il bucket selezionato. Puoi elencare tutti i bucket o nessuno.

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:GetObjectAcl",
                "s3:PutObjectAcl",
                "s3:ListBucket",
                "s3:GetBucketAcl",
                "s3:PutBucketAcl",
                "s3:GetBucketLocation"
            ],
            "Resource": "arn:aws:s3:::your_bucket_here/*",
            "Condition": {}
        },
        {
            "Effect": "Allow",
            "Action": "s3:ListAllMyBuckets",
            "Resource": "*",
            "Condition": {}
        }
    ]
}

Interpreto questa domanda come: "Posso consentire l'accesso a un bucket in cui tutti gli altri bucket non saranno accessibili e quindi invisibili". Perché mostrare il nome del bucket a cui non è stato concesso l'accesso equivale comunque a fuga di informazioni.

E la risposta corretta è no. L'autorizzazione richiesta è ListAllMyBuckets che consentirà all'utente di vedere TUTTI i bucket. Tralasciare questa autorizzazione renderà la console inutilizzabile.

C'è un ottimo modo per consentire agli utenti di accedere a un bucket specifico senza comprendere la conoscenza di altri bucket. Un criterio di gruppo simile a quello di seguito consentirà agli utenti di visualizzare solo il "bucket a". L'unico problema è che l'utente potrà accedere al bucket solo se si connette all'endpoint del bucket specificato. Nell'esempio seguente sarebbe bucket-a.s3.amazonaws.com. Il bucket potrebbe anche dover disporre di "Authenticated Users" consentito affinché ciò avvenga.

{
    "Statement": [
     {
         "Sid": "<EXAMPLE_SID>",
         "Action": [
           "s3:ListBucket",
           "s3:GetBucketLocation"
          ],
         "Effect": "Allow",
         "Resource": [
           "arn:aws:s3:::bucket-a"
         ]
     },
     {
      "Sid": "<EXAMPLE_SID>",
      "Action": "s3:*",
      "Effect": "Allow",
      "Resource": [
        "arn:aws:s3:::bucket-a/*"
      ]
     }
   ]
}

Questo metodo è stato testato con Cyberduck su Mac OS / X e utilizzando il pacchetto s3cmd

./s3cmd ls s3://bucket-a --access_key=ACCESS_KEY --secret_key=SECRET_KEY --bucket-locat
ion=ap-southeast-2

Confuso sul motivo per cui non è stata verificata alcuna risposta?

Analizziamo ogni dichiarazione politica dalle soluzioni di cui sopra:

Questa dichiarazione politica di si applica al contenuto del bucket, ma non al buck stesso. Questo probabilmente non è ciò che la domanda ha chiesto, perché non puoi vedere cosa c'è nel secchio.

{
"Effect": "Allow",
"Action": [
"s3:GetObject",
"s3:PutObject",
"s3:GetObjectAcl",
"s3:PutObjectAcl",
"s3:ListBucket",
"s3:GetBucketAcl",
"s3:PutBucketAcl",
"s3:GetBucketLocation"
],
"Resource": "arn:aws:s3:::your_bucket_here/*",
"Condition": {}
}

Questa politica a due istruzioni derivata da fornisce l'accesso in sola lettura al bucket in ( arn:aws:s3:::your_bucket_here/) in sola lettura , ma consente comunque operazioni CRUD sui contenuti del bucket ( arn:aws:s3:::your_bucket_here/*).

{
  "Effect": "Allow",
  "Action": [
    "s3:ListBucket",
    "s3:GetBucketLocation",
    "s3:ListBucketMultipartUploads"
  ],
  "Resource": "arn:aws:s3:::your_bucket_here",
  "Condition": {}
},
{
  "Effect": "Allow",
  "Action": [
    "s3:AbortMultipartUpload",
    "s3:DeleteObject",
    "s3:DeleteObjectVersion",
    "s3:GetObject",
    "s3:GetObjectAcl",
    "s3:GetObjectVersion",
    "s3:GetObjectVersionAcl",
    "s3:PutObject",
    "s3:PutObjectAcl",
    "s3:PutObjectAclVersion"
  ],
  "Resource": "arn:aws:s3:::your_bucket_here/*",
  "Condition": {}
}

Tuttavia, la policy include la dichiarazione seguente, che consente a un utente di vedere tutti i bucket all'endpoint. Questo probabilmente non è ciò che la domanda ha chiesto.

{
"Effect": "Allow",
"Action": "s3:ListAllMyBuckets",
"Resource": "*",
"Condition": {}
}

Tuttavia, quanto sopra è molto utile se si utilizza un client che naviga in un negozio S3. Se il tuo client accede al negozio e non direttamente al bucket, devi accedere all'elenco dei bucket alla radice.

Probabilmente il caso d'uso più semplice:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:ListBucket"],
      "Resource": ["arn:aws:s3:::bucket-name"]
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutObject",
        "s3:GetObject",
        "s3:DeleteObject"
      ],
      "Resource": ["arn:aws:s3:::bucket-name/*"]
    }
  ]
}

Esiste un modo semplice o una soluzione alternativa per farlo utilizzando AWS Organizations. L'organizzazione AWS ti consente di avere più account utente. Il tuo account principale potrà avere più account AWS (Sub) e tutti i servizi (s3 / EC2 / *) vengono aggiunti in qualsiasi account AWS saranno visibili solo quelle risorse.

Fare riferimento a https://aws.amazon.com/blogs/aws/aws-organizations-policy-based-management-for-multiple-aws-accounts/ https://aws.amazon.com/organizations/

Organizzazione nella pagina del mio account

Ho trovato questa soluzione:
AWS FLOW:

Politica dei secchi:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Principal": "*",
      "Action": "s3:*",
      "Resource": [
        "arn:aws:s3:::MyExampleBucket",
        "arn:aws:s3:::MyExampleBucket/*"
      ],
      "Condition": {
        "StringNotLike": {
          "aws:userId": [
            "AROAEXAMPLEID:*", #Role ID
            "111111111111" #AccountID
          ]
        }
      }
    }
  ]
}

Criterio IAM:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Principal": "*",
      "Action": "s3:*",
      "Resource": [
        "arn:aws:s3:::MyExampleBucket",
        "arn:aws:s3:::MyExampleBucket/*"
      ],
      "Condition": {
        "StringNotLike": {
          "aws:userId": [
            "AROAEXAMPLEID:*",  #Role ID
            "AIDAEXAMPLEID",  #UserID
            "111111111111"  #AccountID
          ]
        }
      }
    }
  ]
}

aws iam get-user -–user-name USER-NAME --profile = ExampleProfile

aws iam get-role --role-name ROLE-NAME --profile = ExampleProfile

Fonte: https://aws.amazon.com/blogs/security/how-to-restrict-amazon-s3-bucket-access-to-a-specific-iam-role/

PS fai attenzione alla politica del bucket, puoi stare fuori senza autorizzazioni

Come è stato ampiamente discusso in precedenza, non è possibile elencare un solo bucket su console. Ma se l'accesso al bucket S3 è collegato a un IAM, IAM può accedere direttamente al bucket se è disponibile l'URL del bucket. L'URL del bucket S3 sarà come:

https://s3.console.aws.amazon.com/s3/buckets/BucketName

Dove BucketName è il nome del bucket a cui IAM ha accesso

Sono riuscito a far funzionare quanto segue. Significava che l'elenco di altri bucket ha ricevuto il messaggio di accesso negato. Ma ero ancora in grado di vedere il bucket che volevo se mi collegavo con il nome del bucket impostato come percorso.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetBucketLocation",
        "s3:ListAllMyBuckets"
      ],
      "Resource": "arn:aws:s3:::test"
    },
    {
      "Effect": "Allow",
      "Action": ["s3:ListBucket"],
      "Resource": ["arn:aws:s3:::test"]
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutObject",
        "s3:GetObject",
        "s3:DeleteObject"
      ],
      "Resource": ["arn:aws:s3:::test/*"]
    }
  ]
}

Stavo usando Cyberduck per testare questa connessione.

Sebbene non sia possibile limitare l' s3:ListAllMyBucketsazione a bucket specifici, come soluzione alternativa puoi inviare loro l'URL della console per bucket specifici, ad es.

• https://s3.console.aws.amazon.com/s3/buckets/BUCKET_NAME/

^{Origine: limitazione dell'elenco di bucket S3 dalla console S3}

Per fare ciò, è necessario specificare il seguente documento di policy per un determinato utente o gruppo:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation",
                "s3:ListBucketMultipartUploads"
            ],
            "Resource": [
                "arn:aws:s3:::my-bucket-1",
                "arn:aws:s3:::my-bucket-2"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:AbortMultipartUpload",
                "s3:DeleteObject",
                "s3:DeleteObjectVersion",
                "s3:GetObject",
                "s3:GetObjectAcl",
                "s3:GetObjectVersion",
                "s3:GetObjectVersionAcl",
                "s3:PutObject",
                "s3:PutObjectAcl",
                "s3:PutObjectVersionAcl"
            ],
            "Resource": [
                "arn:aws:s3:::my-bucket-1/*",
                "arn:aws:s3:::my-bucket-2/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListAllMyBuckets"
            ],
            "Resource": "arn:aws:s3:::*"
        }
    ]
}

^{Dove my-bucket-1e my-bucket-2sono i tuoi bucket per fornire l'accesso in lettura e scrittura.}

Relazionato:

• Scrittura di policy IAM: come concedere l'accesso a un bucket Amazon S3
• Limita elenco di bucket per un utente specifico
• Come fornire a un utente l'accesso solo a un determinato bucket in AWS S3?
• Specifica delle risorse in una politica e autorizzazioni relative alle operazioni del bucket

Prova questa politica. L'utente non può elencare alcun bucket, deve utilizzare il collegamento diretto al bucket consentito.

Ad esempio: s3.console.aws.amazon.com/s3/buckets/bucketname/?region=us-east-1&tab=overview

{
  "Statement": [
    {
      "Action": [
        "s3:ListBucket"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:s3:::bucketname"
      ]
    },
    {
      "Action": [
        "s3:PutObject",
        "s3:GetObject"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:s3:::bucketname*"
      ]
    },

  ],
  "Version": "2012-10-17"
}

Simile a ciò che altri hanno descritto sopra:

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":[
            "s3:ListBucket"
         ],
         "Resource":"arn:aws:s3:::awsexamplebucket"
      },
      {
         "Effect":"Allow",
         "Action":[
            "s3:PutObject",
            "s3:GetObject"
         ],
         "Resource":"arn:aws:s3:::awsexamplebucket/*"
      }
   ]
}

Ecco però il tassello mancante. Sebbene non sia possibile accedere al bucket tramite S3-> Home, è possibile accedere solo al bucket desiderato tramite un collegamento diretto.

https://s3.console.aws.amazon.com/s3/buckets/yourawsbucket/

Puoi trovare maggiori informazioni nel seguente post:

https://aws.amazon.com/premiumsupport/knowledge-center/s3-console-access-certain-bucket/

La soluzione qui sotto ha funzionato per me. Volevo una policy per concedere l'accesso a un utente specifico my_iam_user su un bucket specifico my-s3-bucket .

Questa politica consente al mio utente di elencare, eliminare, ottenere e inserire file in uno specifico bucket s3.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ListBucket",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::123456789012:user/my_iam_user"
            },
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": "arn:aws:s3:::my-s3-bucket"
        },
        {
            "Sid": "AddDeleteFiles",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::123456789012:user/my_iam_user"
            },
            "Action": [
                "s3:DeleteObject",
                "s3:GetObject",
                "s3:PutObject"
            ],
            "Resource": "arn:aws:s3:::my-s3-bucket/*"
        }
    ]
}

Aggiungo solo un'esigenza simile, risolta da questo:

{
  "Version": "2012-10-17",
  "Statement": [
    {
        "Effect": "Allow",
        "Action": [
            "s3:Get*",
            "s3:Put*",
            "s3:DeleteObject",
            "s3:ListBucket"
        ],
        "Resource": [
            "arn:aws:s3:::my-bucket-name",
            "arn:aws:s3:::my-bucket-name/*"
        ]
    }
  ]
}

Uso le seguenti cose per nascondere i contenuti del bucket agli altri utenti. Questo non solo aiuta a nascondere altri bucket (non utilizzare ListAllMyBuckets), ma anche cartelle nello stesso bucket, quando crei un bucket, ma desideri avere sottocartelle al suo interno che assegnano le autorizzazioni appropriate all'utente IAM / sottocartella.

La seguente policy viene applicata al gruppo IAM e tutti gli utenti fanno parte di questo gruppo. Devi prendere aws:useride creare una sottocartella con lo stesso nome nel secchio.

L'ID utente può essere utilizzato: aws iam get-user --user-name "user_name_for_folder_access":

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:*"
            ],
            "Resource": [
                "arn:aws:s3:::bucket_name/${aws:userid}/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::bucket_name"
            ]
        }
    ]
}

Una bella soluzione semplice che abbiamo trovato è impedire all'utente di accedere alla directory principale. Quindi devono accedere con il percorso remoto impostato nella cartella desiderata.

 {
"Statement": [
    {
        "Effect": "Allow",
        "Action": "s3:*",
        "Resource": "arn:aws:s3:::folder-name*",
        "Condition": {}
    }
]
}

No, al momento non è possibile limitare gli utenti a visualizzare bucket selettivi sotto root o altrove. Hai solo quelle 3 opzioni in questo momento.

Ho scelto di chiedere al cliente di utilizzare esplicitamente il nome del bucket.

Questo è dettagliato da Amazon su http://blogs.aws.amazon.com/security/post/Tx3VRSWZ6B3SHAV/Writing-IAM-Policies-How-to-grant-access-to-an-Amazon-S3-bucket

Questo ha funzionato perfettamente per me. L'utente può caricare, scaricare e ottenere un elenco di file ma non sarà in grado di vedere i file da altri bucket.

 {    

"Statement": [    

{
    "Effect": "Allow",
    "Action": [
        "s3:GetObject",
        "s3:PutObject",
        "s3:GetObjectAcl",
        "s3:PutObjectAcl",
        "s3:ListBucket",
        "s3:GetBucketAcl",
        "s3:PutBucketAcl",
        "s3:GetBucketLocation"
    ],
    "Resource": "arn:aws:s3:::mybucketname/*",
    "Condition": {}
},
{
    "Effect": "Allow",
    "Action": "s3:ListAllMyBuckets",
    "Resource": "*",
    "Condition": {}
},
{
    "Effect": "Deny",
    "Action": [
        "s3:DeleteBucket",
        "s3:DeleteBucketPolicy",
        "s3:DeleteBucketWebsite",
        "s3:DeleteObject",
        "s3:DeleteObjectVersion"
    ],
    "Resource": "arn:aws:s3:::mybucketname/*",    

    "Condition": {}    

}
]
}      

Aggiungi una Denyclausola per i bucket a cui non desideri accedere. Ricorda che potrebbero essere ancora elencati, ma non sarai in grado di accedere ai contenuti al loro interno.

{
    "Versione": "2012-10-17",
    "Dichiarazione": [
        {
            "Effetto": "Consenti",
            "Azione": "s3: *",
            "Risorsa": "*"
        },
        {
            "Effetto": "Nega",
            "Azione": "s3: *",
            "Risorsa": [
                "ARN: AWS: ::: secchio nome-S3",
                "ARN: AWS: s3 ::: benna-name / *"
            ]
        }
    ]
}