Блог

Итак, недавно я создал новую учетную запись AWS для использования хранилища S3. В настоящее время у меня есть только моя учетная запись пользователя root. Я использую java aws-sdk для загрузки файлов. Объект S3Client настраивается с помощью секретного ключа моей учетной записи root и ключа доступа. Кроме того, просто используйте встроенный в aws-sdk метод putObject() для загрузки. Здесь нет ничего необычного.

Теперь я попытался прикрепить политику к своему ведру, чтобы ограничить функцию загрузки и выгрузки в ведре. Во-первых, я предоставил все разрешения S3object своему ведру и мог успешно загружать код. Затем я попытался включить в свою политику только GetObject, putObject, getObjectAcl, putObjectAcl и снова смог успешно загрузить.

После этого я удалил putObject и putObjectAcl, у которых были только разрешения GetObject, но, на удивление, я все еще мог загружать файлы, используя свой код. Я считаю, что удаление разрешений на загрузку даст мне 403 Отказа в доступе. Это потому, что я использую свой ключ доступа корневого пользователя и секретный ключ, который дает некоторые дополнительные права? Или есть что-то фундаментальное, чего мне здесь не хватает?

Моя политика без разрешения на загрузку:

 {
  "Id": "PolicyXXXXXXX",
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "StmtXXXXXX",
      "Action": [
        "s3:GetObject",
        "s3:GetObjectAcl",
      ],
      "Effect": "Allow",
      "Resource": "arn:aws:s3:::bucket-name/*",
      "Principal": {
        "AWS": [
          "arn:aws:iam::11111111111:root"
        ]
      }
    }
  ]
}
 

Пользователь, чей ключ доступа и секретный ключ вы используете, должен был получить разрешения putObject.

Если к запросу применяются политики на основе ресурсов и политики на основе идентификации, AWS проверяет все политики по крайней мере на одну Allow . Пожалуйста, ознакомьтесь здесь с логикой оценки политики.

Если действие разрешено политикой на основе идентификации, политикой на основе ресурсов или и тем, и другим, AWS разрешает это действие.