Come consentire all'utente di caricare file sul bucket S3, ma non di sovrascriverli o eliminarli?

Ho la seguente politica IAM per un utente

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Stmt1395161912000",
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket",
        "s3:PutObject",
        "s3:*"
      ],
      "Resource": [
        "arn:aws:s3:::bucketname"
      ]
    },
    {
      "Sid": "list",
      "Effect": "Allow",
      "Action": [
        "s3:ListAllMyBuckets"
      ],
      "Resource": [
        "arn:aws:s3:::*"
      ]
    }
  ]
}

L'obiettivo è consentire all'utente di caricare i file nel bucket, ma non di sovrascriverli o eliminarli. È per il backup. Ho iniziato con ListBuckete PutObject, ma *ho aggiunto che non funzionava. Nemmeno *consente all'utente di caricare file, solo ottenendo Access Denied.

Quando provo il Simulatore, ritorna Denied - Implicitly denied (no matching statements found).per ListBucket, il che sembra strano dato che l'ho implicitamente permesso.

Ho provato sia Cyberduck che 3Hub come client S3.

Qualche idea di cosa c'è che non va?

Quando si creano criteri Amazon IAM per Amazon S3 , è necessario essere consapevoli della differenza tra Operazioni sul servizio (ad esempio ListAllMyBuckets ), Operazioni su bucket (ad esempio ListBucket ) e Operazioni su oggetti (ad esempio GetObject ).

In particolare, le Resourcespecifiche della tua politica devono rivolgersi alle entità target appropriate secondo i seguenti schemi (vedi ad esempio le varie Politiche di esempio per Amazon S3 ):

• Operazioni sul servizio - arn:aws:s3:::*
• Operazioni su benne - arn:aws:s3:::<bucket>
• Operazioni sugli oggetti - arn:aws:s3:::<bucket>/<object>

Soluzione

Stai riscontrando Access Denied, perché hai specificato una risorsa a livello di bucket per PutObject, che richiede una specifica di risorsa a livello di oggetto come arn:aws:s3:::<bucket>/*- di conseguenza, la seguente politica dovrebbe coprire il tuo caso d'uso di esempio:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListAllMyBuckets"
      ],
      "Resource": [
        "arn:aws:s3:::*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::bucketname"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutObject"
      ],
      "Resource": [
        "arn:aws:s3:::bucketname/*"
      ]
    }
  ]
}