amazon-web-services - s3 :x-amz-acl with a value of "bucket-owner-full-control" do/mean? 是什么

Question

我一直在存储桶策略示例中看到这一点，但我不知道它是什么

"Condition": {
    "StringEquals": {
        "s3:x-amz-acl": "bucket-owner-full-control"
    }

这是否意味着用户必须添加一个值为“bucket-owner-full-control”的标题“s3:x-amz-acl”？这是强制执行实际的 acl 还是任意的？它可以是任何 header 和字符串，还是对 s3:x-amz-acl 和 bucket-owner-full-control 有重要意义？

Answer 1

此策略片段要求请求包含固定 ACL 的规范，使用 header x-amz-acl (不区分大小写)，值为 bucket-owner-full-control .

对此条件的约束通常用于确保对象的所有者(始终是上传用户，不一定是存储桶的所有者)无法创建存储桶所有者无法读取的对象(“完全控制"是一个不幸的误称，因为存储桶所有者已经可以删除外部对象，尽管如此不能进一步委派对该对象的权限)。

但这不是随意的。

具体:s3:x-amz-acl是 S3-specific IAM policy condition key这恰好与它匹配的 header 命名完全相同。

它不是任意的 header 匹配，即使这样的功能有时可能很方便。大多数其他 HTTP header 不受策略条件的限制，您不能使用，例如s3:x-random-http-header健康)状况。

有global condition keys喜欢 aws:SecureTransport可用于拒绝未使用 HTTPS 的请求，以及 aws:UserAgent对 HTTP User-Agent 进行评估 header ，但请注意记录在案的警告，即“不应用于防止未经授权的各方发出直接 AWS 请求”，因为它很容易被用户代理伪造。否则，允许/拒绝与 header 相关的请求的选项并不多。

与条件键不同，值字符串 bucket-owner-full-control实际上并未在策略中进行验证，因为它只是一个字符串，但如果您未指定有效值，它将永远不会匹配。