amazon-s3 - AWS S3 存储桶策略源 IP 不工作

Question

我一直在尝试所有可能的选项，但没有结果。我的 Bucket Policy 适用于 aws:Referer，但它根本不适用于 Source Ip 作为条件。

我的服务器托管在 EC2 上，我使用 xxx.xxx.xxx.xxx/32 (Public_Ip/32) 格式的公共(public) IP 作为源 IP 参数。

谁能告诉我我做错了什么？

目前我的政策如下

{
   "Version": "2008-10-17",
   "Id": "S3PolicyId1",
   "Statement": [
                {
                 "Sid": "IPDeny",
                 "Effect": "Deny",
                 "Principal": {
                               "AWS": "*"
                               },
                 "Action": "s3:*",
                 "Resource": "arn:aws:s3:::my_bucket/*",
                 "Condition": {
                               "NotIpAddress": {
                                                "aws:SourceIp": "xx.xx.xxx.xxx/32"
                                                }
                               }
               }
               ]
}

我阅读了所有示例和案例研究，但它似乎不允许基于源 IP 的访问...

非常感谢!!!

Answer 1

虽然我不会不同意政策在任何可能的情况下都比 IP 地址更好，但接受的答案实际上并没有实现最初问题的目标。我需要这样做(我需要从一台不是 EC2 的机器进行访问，因此没有策略)。

这是一个只允许特定(或多个 IP)访问存储桶对象的策略。这假定没有其他策略允许访问存储桶(默认情况下，存储桶不授予公共(public)访问权限)。

此政策也不允许上市。仅当您知道您需要的对象的完整 URL 时。如果您需要更多权限，只需将它们添加到操作位即可。

{
  "Id": "Policy123456789",
  "Statement": [
    {
      "Sid": "IPAllow",
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "s3:GetObject"
      ],
      "Resource": "arn:aws:s3:::mybucket/*",
      "Condition" : {
        "IpAddress" : {
          "aws:SourceIp": [
            "xx.xx.xx.xx/32"
          ]
        }
      } 
    } 
  ]
}