amazon-web-services - S3 存储桶策略与访问控制列表

Question

关于AWS website ，建议使用以下存储桶策略将 S3 存储桶公开:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "PublicReadGetObject",
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::example-bucket/*"
            ]
        }
    ]
}

这与仅通过访问控制列表设置有什么区别？

Answer 1

底线:1) 访问控制列表 (ACL) 是旧版(但并未弃用)，2) AWS 推荐存储桶/IAM 策略，3) ACL 提供对存储桶和对象的控制，策略仅适用于存储桶级别。

通过考虑以下因素来决定使用哪种:(如 John Hanley 所言 below，可以应用不止一种类型，并且将应用最限制性/最小特权权限。)

如果您愿意，请使用 S3 存储桶策略:

• 控制 S3 环境中的访问
• 了解谁可以访问存储桶
• 政策大小上限保持在 20kb 以下

如果您愿意，请使用 IAM 策略:

• 控制 IAM 环境中的访问，可能不仅仅是存储桶
• 管理大量存储桶
• 了解用户可以在AWS中执行哪些操作
• 政策大小上限保持在 2-10kb 以下，具体取决于用户/组/角色

如果您愿意，请使用 ACL:

• 控制对存储桶和对象的访问
• 政策大小上限超过 20kb
• 继续使用 ACL，您会感到满意

https://aws.amazon.com/blogs/security/iam-policies-and-bucket-policies-and-acls-oh-my-controlling-access-to-s3-resources/