muszę użytkownik Amazon S3 z pełnym dostępem do jednego wiadra

Question

Mam foo użytkownika z następującymi uprawnieniami (nie jest członkiem żadnej grupy):

{ 
    "Statement": [ 
    { 
     "Sid": "Stmt1308813201865", 
     "Action": "s3:*", 
     "Effect": "Allow", 
     "Resource": "arn:aws:s3:::bar" 
    } 
    ] 
} 

że użytkownik jednak nie są w stanie przesłać lub wykonuj wiele czynności, dopóki nie udzielę pełnego dostępu uwierzytelnionym użytkownikom (które mogą dotyczyć każdego). To nadal nie pozwala użytkownikowi zmienić uprawnienia, ponieważ po przesłaniu wysyła komunikat o błędzie, gdy próbuje zrobić key.set_acl('public-read').

Idealnie ten użytkownik miałby pełny dostęp do wiaderka bar i nic więcej, co robię źle?

Answer 1

Musisz udzielić użytkownikowi s3: ListBucket uprawnień do samego zasobnika. Wypróbuj poniższe zasady.

{ 
    "Statement": [ 
    { 
     "Effect": "Allow", 
     "Action": "S3:*", 
     "Resource": "arn:aws:s3:::bar/*", 
     "Condition": {} 
    }, 
    { 
     "Effect": "Allow", 
     "Action": [ 
     "s3:ListBucket" 
     ], 
     "Resource": "arn:aws:s3:::bar", 
     "Condition": {} 
    } 
    ] 
} 

Answer 2

Czy znasz numer AWS Policy Generator?

Answer 3

Wybrana odpowiedź nie działa dla mnie, ale ten zrobił:

{ 
    "Statement": [ 
    { 
     "Action": "s3:*", 
     "Effect": "Allow", 
     "Resource": [ 
     "arn:aws:s3:::my-bucket", 
     "arn:aws:s3:::my-bucket/*" 
     ] 
    } 
    ], 
    "Statement": [ 
    { 
     "Effect": "Allow", 
     "Action": "s3:ListAllMyBuckets", 
     "Resource": "arn:aws:s3:::*" 
    } 
    ] 
} 

kredytowe: http://mikeferrier.com/2011/10/27/granting-access-to-a-single-s3-bucket-using-amazon-iam/

Answer 4

To działa dla mnie:

{ 
    "Statement": [ 
     { 
      "Effect": "Allow", 
      "Action": [ 
       "s3:ListBucket", 
       "s3:GetBucketLocation", 
       "s3:ListBucketMultipartUploads", 
       "s3:ListBucketVersions" 
      ], 
      "Resource": "arn:aws:s3:::bucket_name_here" 
     }, 
     { 
      "Effect": "Allow", 
      "Action": [ 
       "s3:*Object*", 
       "s3:ListMultipartUploadParts", 
       "s3:AbortMultipartUpload" 
      ], 
      "Resource": "arn:aws:s3:::bucket_name_here/*" 
     } 
    ] 
} 

Answer 5

Jeśli już Wyciąganie włosów, ponieważ nie można zrozumieć, dlaczego Cyberduck nie jest w stanie ustawić obiektów ACL, ale działa z innym klientem (np. Panic Transmit) tutaj jest rozwiązanie:

Trzeba dodać s3:GetBucketAcl do listy działań, np:

{ 
    "Statement": [ 
     { 
      "Sid": "Stmt1", 
      "Action": [ 
       "s3:GetBucketAcl", 
       "s3:ListBucket", 
       "s3:DeleteObject", 
       "s3:GetObject", 
       "s3:GetObjectAcl", 
       "s3:PutObject", 
       "s3:PutObjectAcl" 
      ], 
      "Effect": "Allow", 
      "Resource": "arn:aws:s3:::your-bucket-name" 
     } 
    ] 
} 

Oczywiście nie trzeba tego robić, jeśli są mniej restrykcyjne z s3:* ale myślę, że to dobrze wiedzieć.

Answer 6

Istnieje oficjalna dokumentacja AWS w Writing IAM Policies: How to Grant Access to an Amazon S3 Bucket

Wystarczy skopiować i wkleić odpowiednią regułę i zmienić klucz „resource” do ARN wiadro we wszystkich sprawozdań.

Dla programamtic dostępu polityka powinna być:

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
     { 
      "Effect": "Allow", 
      "Action": ["s3:ListBucket"], 
      "Resource": ["arn:aws:s3:::bar"] 
     }, 
     { 
      "Effect": "Allow", 
      "Action": [ 
       "s3:PutObject", 
       "s3:PutObjectAcl", 
       "s3:GetObject", 
       "s3:GetObjectAcl", 
       "s3:DeleteObject" 
      ], 
      "Resource": ["arn:aws:s3:::bar/*"] 
     } 
    ] 
} 

I dostępu konsoli dostęp powinien być:

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
     { 
      "Effect": "Allow", 
      "Action": [ 
       "s3:GetBucketLocation", 
       "s3:ListAllMyBuckets" 
      ], 
      "Resource": "arn:aws:s3:::bar*" 
     }, 
     { 
      "Effect": "Allow", 
      "Action": ["s3:ListBucket"], 
      "Resource": ["arn:aws:s3:::bar"] 
     }, 
     { 
      "Effect": "Allow", 
      "Action": [ 
       "s3:PutObject", 
       "s3:PutObjectAcl", 
       "s3:GetObject", 
       "s3:GetObjectAcl", 
       "s3:DeleteObject" 
      ], 
      "Resource": ["arn:aws:s3:::bar/*"] 
     } 
    ] 
} 

Answer 7

@ odpowiedź cloudberryman jest poprawna, ale chciałbym, aby rzeczy jak krótkie jak to możliwe. Odpowiedź ta może być zmniejszona do:

{ 
    "Statement":[ 
     { 
     "Effect":"Allow", 
     "Action":"S3:*", 
     "Resource":[ 
      "arn:aws:s3:::bar", 
      "arn:aws:s3:::bar/*" 
     ] 
     } 
    ] 
}