amazon-web-services - 对一组认知身份的 S3 对象的访问控制

Question

我们正在编写一个使用 Cognito 进行身份管理和 S3 进行对象存储的图像共享应用程序。用户上传图片时，可以将图片权限设置为private、public或friend，其中friend是app用户的集合。

当 S3 对象只是私有(private)或公共(public)时(例如使用 Canned ACL)，在 S3 对象上设置访问控制似乎很清楚。然而，目前还不清楚我们如何才能让一个对象只能被一组 Cognito 身份访问。

我们已经查看了标签、元数据和存储桶策略。标签和存储桶策略只是存储桶级别的，我们希望它们是对象级别的。可以为单个对象设置元数据，但是我认为我们不能将元数据设置为 Cognito 角色中的条件。我们有办法做到这一点吗？

似乎问题的症结在于我们无法创建认知身份的子组并分配这些组访问资源。

任何帮助将不胜感激。

tl;dr 我们如何让 S3 对象只能被一组认知身份访问？

Answer 1

不幸的是，Cognito 没有办法允许访问任意、流动的 id 组。到目前为止，可以授予一组 id 访问权限的唯一方法是 this blog 中描述的，这需要将 id 硬编码到角色中:

"StringEquals": {
"cognito-identity.amazonaws.com:aud": "us-east-1:12345678-dead-beef-cafe-123456790ab",
"cognito-identity.amazonaws.com:sub": [
        "us-east-1:12345678-1234-1234-1234-123456790ab",
        "us-east-1:98765432-1234-1234-1243-123456790ab"
] }