AWS S3バケットポリシー明示的拒否

Question

バケツをすべて拒否するように制限しようとしていますが、特定のIAMユーザーからのアップロードを許可し、refererヘッダーに基づいてオブジェクトを取得します。ここに私の方針は次のとおりです。

{ 
    "Version": "2012-10-17", 
    "Id": "Meteor refer policy", 
    "Statement": [ 
     { 
      "Sid": "allow upload", 
      "Effect": "Allow", 
      "Principal": { 
       "AWS": "arn:aws:iam::556754141176:user/username" 
      }, 
      "Action": "s3:PutObject*", 
      "Resource": [ 
       "arn:aws:s3:::bucketname", 
       "arn:aws:s3:::bucketname/*" 
      ] 
     }, 
     { 
      "Sid": "Allow get", 
      "Effect": "Allow", 
      "Principal": "*", 
      "Action": "s3:GetObject", 
      "Resource": "bucketname/*", 
      "Condition": { 
       "StringLike": { 
        "aws:Referer": [ 
         "http://myapp.com*", 
         "http://localhost*" 
        ] 
       } 
      } 
     }, 
     { 
      "Sid": "Explicit deny", 
      "Effect": "Deny", 
      "Principal": "*", 
      "Action": "s3:*", 
      "Resource": "bucketname/*", 
      "Condition": { 
       "StringNotLike": { 
        "aws:Referer": [ 
         "http://myapp.com*", 
         "http://localhost*" 
        ] 
       } 
      } 
     } 
    ] 
} 

このポリシーは、正しくのみRefererヘッダにGetObject関数ディレクティブを施行したが、私は、私が述べたように、そのユーザーに何かをアップロードすることはできませんよ。明示的な否定を取り除くと、どこからでもオブジェクトにアクセスでき、リファラーは問題になりません。私のポリシーに何が間違っていますか？また、私はコンソールからバケツ内のものにアクセスすることはできません。そのために私は何をする必要がありますか？

ありがとう、

Answer 1

デフォルトでは、Amazon S3バケットのすべてのコンテンツはプライベートです。したがって、許可する必要のあるユーザーへのアクセスを追加するだけです。

また、単にPutObjectを付与することだけが、API呼び出しとがListAllMyBucketsのような権限を必要とAWS Management Consoleの、経由のアクセスを許可しないだろうことができます。したがって、アップロードするユーザーに必要な権限があるか、許可されているAPI呼び出しのみが使用されていることを確認してください。したがって

：

• がポリシーを拒否削除する - それはGetObject政策で
• を必要とされていないことがバケットポリシーが適用されることに明示的なので、あなたも"Resource": "bucketname/*",を削除する必要がありますそれが添付されているバケット
• アップロードするユーザーにAWS Command-Line Interface (CLI)またはアップロードするWebページを使用させる場合は、PutObjectまたは grant addここではAmazon S3のためにAWS管理コンソールを使用することができるようにするitional権限（下図参照）

は（Is there an S3 policy for limiting access to only see/access one bucket?のおかげで）Amazon S3の管理コンソール内のアップロードアクセスを許可します許可のセットです。

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
     { 
      "Sid": "Stmt1", 
      "Effect": "Allow", 
      "Action": [ 
       "s3:GetBucketLocation", 
       "s3:ListBucket" 
      ], 
      "Resource": [ 
       "arn:aws:s3:::bucketname" 
      ] 
     }, 
     { 
      "Effect": "Allow", 
      "Action": "s3:ListAllMyBuckets", 
      "Resource": "*" 
     } 
    ] 
}