Блог

У меня следующая конфигурация пользователя:

 namespace: s3test
user:      s3test
  subuser:   backup (set up with s3 credentials instead of swift)
  

Я хочу определить политику корзины, которая явно запрещает пользователю резервного копирования помещать в вызываемую корзину hedgehogs , созданную s3test пользователем:

 {
        "Version": "2012-10-17",
        "Statement": [
            {
                "Sid": "DenyPutToHedgehogsForBackup",
                "Effect": "Deny",
                "Principal": {
                    "CanonicalUser": "s3test:backup"
                },
                "Action": ["s3:PutObject"],
                "Resource": [
                    "arn:aws:s3:::hedgehogs/*"
                ]
            }
        ]
}
  

Однако, похоже, это не позволяет обоим s3test и s3test:backup вводить hedgehogs .

Что-то не так с синтаксисом моей политики или это означает, что дочерние пользователи, настроенные с учетными данными s3, — это просто еще один способ доступа к s3 с основными разрешениями пользователя?

Ваша политика корзины должна быть такой:

 {
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Deny",
    "Principal": {"AWS": ["arn:aws:iam:::user/s3test:backup"]},
    "Action": "s3:PutObject",
    "Resource": [
      "arn:aws:s3:::hedgehogs/*"
    ]
  }]
}