사용자가 S3 버킷에 파일을 업로드하지만 덮어 쓰거나 삭제하지 않는 방법은 무엇입니까?

사용자에 대한 다음 IAM 정책이 있습니다

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Stmt1395161912000",
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket",
        "s3:PutObject",
        "s3:*"
      ],
      "Resource": [
        "arn:aws:s3:::bucketname"
      ]
    },
    {
      "Sid": "list",
      "Effect": "Allow",
      "Action": [
        "s3:ListAllMyBuckets"
      ],
      "Resource": [
        "arn:aws:s3:::*"
      ]
    }
  ]
}

사용자가 파일을 버킷에 업로드 할 수 있지만 덮어 쓰거나 삭제할 수 없도록하는 것이 목표입니다. 백업용입니다. 나는으로 시작 ListBucket하고 PutObject있지만 추가 *작동하지 않았다한다. *사용자가 파일을 업로드 할 수는 없으며 단지 가져옵니다 Access Denied.

내가 시뮬레이터를하려고하면, 그것은 반환 Denied - Implicitly denied (no matching statements found).을 위해 ListBucket내가 암시 것을 허용 한 이후 홀수 보인다.

Cyberduck과 3Hub를 S3 클라이언트로 사용해 보았습니다.

무슨 일이야?

Amazon S3에 대한 Amazon IAM 정책을 만들 때는 서비스 운영 (예 : ListAllMyBuckets ), 버킷 운영 (예 : ListBucket ) 및 객체 운영 (예 : GetObject ) 의 차이점을 알고 있어야합니다 .

특히, Resource정책 사양은 다음 패턴에 따라 적절한 대상 엔티티를 처리해야합니다 (예 : 다양한 Amazon S3 정책 예 참조 ).

• 서비스 운영- arn:aws:s3:::*
• 버킷 작업- arn:aws:s3:::<bucket>
• 객체 조작- arn:aws:s3:::<bucket>/<object>

해결책

에 Access Denied대한 버킷 수준 리소스를 지정 했으므로 다음과 PutObject같은 객체 수준 리소스 사양이 필요합니다. arn:aws:s3:::<bucket>/*따라서 다음 정책이 샘플 사용 사례에 적용됩니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListAllMyBuckets"
      ],
      "Resource": [
        "arn:aws:s3:::*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::bucketname"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutObject"
      ],
      "Resource": [
        "arn:aws:s3:::bucketname/*"
      ]
    }
  ]
}