Как разрешить пользователю загружать файлы в корзину S3, но не перезаписывать или удалять?

У меня есть следующая политика IAM для пользователя

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Stmt1395161912000",
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket",
        "s3:PutObject",
        "s3:*"
      ],
      "Resource": [
        "arn:aws:s3:::bucketname"
      ]
    },
    {
      "Sid": "list",
      "Effect": "Allow",
      "Action": [
        "s3:ListAllMyBuckets"
      ],
      "Resource": [
        "arn:aws:s3:::*"
      ]
    }
  ]
}

Цель состоит в том, чтобы позволить пользователю загружать файлы в корзину, но не перезаписывать или удалять. Это для резервного копирования. Я начал с ListBucketи PutObject, но добавил, *поскольку это не сработало. Даже не *позволяет пользователю загружать файлы, просто получая Access Denied.

Когда я пытаюсь имитатор, он возвращается Denied - Implicitly denied (no matching statements found).на ListBucket, что кажется странным , так как я неявно допускал , что.

Я пробовал и Cyberduck, и 3Hub в качестве клиентов S3.

Есть идеи, что случилось?

При разработке политик Amazon IAM для Amazon S3 необходимо учитывать разницу между операциями над службой (например, ListAllMyBuckets ), операциями над корзинами (например, ListBucket ) и операциями над объектами (например, GetObject ).

В частности, Resourceспецификация вашей политики должна учитывать соответствующие целевые объекты в соответствии со следующими шаблонами (см., Например, различные примеры политик для Amazon S3 ):

• Операции по обслуживанию - arn:aws:s3:::*
• Операции с ведрами - arn:aws:s3:::<bucket>
• Операции над объектами - arn:aws:s3:::<bucket>/<object>

Решение

Вы сталкиваетесь Access Denied, потому что вы указали ресурс уровня сегмента, для PutObjectкоторого требуется спецификация ресурса уровня объекта, например, arn:aws:s3:::<bucket>/*- следующая политика должна охватывать ваш пример использования:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListAllMyBuckets"
      ],
      "Resource": [
        "arn:aws:s3:::*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::bucketname"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutObject"
      ],
      "Resource": [
        "arn:aws:s3:::bucketname/*"
      ]
    }
  ]
}