Действие S3 Bucket не распространяется ни на какие ресурсы

Я следую инструкциям из этого ответа, чтобы создать следующую политику корзины S3:

{
  "Id": "Policy1495981680273",
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Stmt1495981517155",
      "Action": [
        "s3:GetObject"
      ],
      "Effect": "Allow",
      "Resource": "arn:aws:s3:::surplace-audio",
      "Principal": "*"
    }
  ]
}

Я получаю следующую ошибку:

Действие не распространяется ни на какие ресурсы в заявлении

Что мне не хватает в моей политике?

Из документов IAM http://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html#Action

Некоторые сервисы не позволяют указывать действия для отдельных ресурсов; вместо этого любые действия, перечисленные в элементе Action или NotAction, применяются ко всем ресурсам в этой службе. В этих случаях вы используете подстановочный знак * в элементе Resource.

С этой информацией ресурс должен иметь значение, подобное приведенному ниже:

"Resource": "arn:aws:s3:::surplace-audio/*"

Простое удаление s3:ListBucketразрешения было недостаточно хорошим решением для меня, и, вероятно, не для многих других.

Если вам нужно s3:ListBucketразрешение, вам нужно просто иметь простую арку ведра (без /*конца), поскольку это разрешение применяется к самому ведру, а не к элементам в ведре.

Как показано ниже, у вас должно быть s3:ListBucketразрешение в виде отдельного утверждения от разрешений, относящихся к элементам внутри корзины, таким как s3:GetObjectи s3:PutObject:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket"        
      ],
      "Principal": {
        "AWS": "[IAM ARN HERE]"
      },
      "Resource": "arn:aws:s3:::my-bucket-name"
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject", 
        "s3:PutObject"
      ],
      "Principal": {
        "AWS": "[IAM ARN HERE]"
      },
      "Resource": "arn:aws:s3:::my-bucket-name/*"
    }
  ]
}

Действие при ошибке не применяется ни к каким ресурсам в инструкции

Просто это означает, что действие (вы написали в политике) не применяется к ресурсу. Я пытался обнародовать свою корзину, чтобы любой мог скачать ее. Я получал ошибку, пока не удалил ("s3: ListBucket") из своего оператора.

{
  "Id": "Policyxxxx961",
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Stmtxxxxx4365",
      "Action": [
        "s3:GetObject",
        "s3:ListBucket",
        "s3:PutObject"
      ],
      "Effect": "Allow",
      "Resource": "arn:aws:s3:::bucket-name/*",
      "Principal": "*"
    }
  ]
}

Поскольку сегмент списка не применяется внутри сегмента, то удаление этой политики действий работало нормально.

Просто столкнулся с этой проблемой и нашел более короткое решение для тех, кто хочет, чтобы ListBucket и GetObject были в одной политике.

{
  "Id": "Policyxxxx961",
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Stmtxxxxx4365",
      "Action": [
        "s3:GetObject",
        "s3:ListBucket",
        "s3:PutObject"
      ],
      "Effect": "Allow",
      "Resource": [
          "arn:aws:s3:::bucket-name",
          "arn:aws:s3:::bucket-name/*"
      ],
      "Principal": "*"
    }
  ]
}

Я также столкнулся с аналогичной проблемой при создании ведра

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AddPerm",
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::mrt9949"
            ]
        }
    ]
}

Я изменил приведенный выше код на

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AddPerm",
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::mrt9949/*"
            ]
        }
    ]
}

добавьте / * к имени вашего ведра, это решит проблему

Вот мое имя ведра mrt9949

В моем случае решение этой ошибки было попыткой удалить некоторые из действий, которые я применял. Некоторые из них не имеют отношения к этому ресурсу или не могут работать с ним. В этом случае это не позволит мне включить их:

GetBucketAcl ListBucket ListBucketMultipartUploads

Вы должны проверить шаблон arn, определенный в теге Resource для Policy-

"Ресурс": "arn: aws: s3 ::: s3mybucketname / *"

Добавление «/ *» в конце поможет решить проблему, если вы столкнетесь с ней даже после того, как ваша политика общего доступа разблокирована для вашего сегмента.

• Перейдите на Amazon S3 в своем экземпляре.
• Перейдите в Permissions -> вкладку Public Access.
• Выберите «Изменить» и снимите флажок «Блокировать весь общий доступ и сохранить».
• Вы увидите тег «Public» на вкладке «Разрешение» и в списке управления доступом.

Вы также можете настроить ListBuckets для каждой папки, например

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowSESPuts-1521238702575",
            "Effect": "Allow",
            "Principal": {
                "Service": "ses.amazonaws.com"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::buckets.email/*",
            "Condition": {
                "StringEquals": {
                    "aws:Referer": "[red]"
                }
            }
        },
        {
            "Sid": "Stmt1586754972129",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::596322993031:user/[red]"
            },
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::buckets.email",
            "Condition": {
                "StringEquals": {
                    "s3:delimiter": "/",
                    "s3:prefix": [
                        "",
                        "domain.co",
                        "domain.co/user"
                    ]
                }
            }
        },
        {
            "Sid": "Stmt1586754972129",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::596322993031:user/[red]"
            },
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::buckets.email",
            "Condition": {
                "StringLike": {
                    "s3:prefix": "domain.co/user/*"
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::596322993031:user/[red]"
            },
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject"
            ],
            "Resource": "arn:aws:s3:::buckets.email/domain.co/user/*"
        }
    ]
}

Эти правила используются вместе с SES для получения электронной почты, но позволяют внешнему пользователю просматривать файлы, помещенные в корзину SES. Я выполнил инструкции отсюда: https://aws.amazon.com/blogs/security/writing-iam-policies-grant-access-to-user-specific-folders-in-an-amazon-s3-bucket/

Кроме того, вы должны указать префикс в виде domain.co/user/косой черты WITH в конце при использовании SDK, иначе вы получите отказ в доступе. надеюсь, что это поможет кому-нибудь