amazon-web-services - 这些 AWS 存储桶策略权限如何发挥作用？

Question

我有以下有效的存储桶策略，但在我看来，逻辑是相反的。看来“ArnLike”应该是“ArnNotLike”。

期望的意图是“条件”中列出的用户 ID 和角色应该被允许访问存储桶。这就是正在发生的事情。所以它按预期工作，但由于“效果”设置为“拒绝”，我不明白为什么“ArnLike”不应该是“ArnNotLike”。

有人可以帮我理解为什么吗？谢谢。

下面的摘录来 self 的 serverless.yml 配置文件。

MyBucketPolicy:
  Type: 'AWS::S3::BucketPolicy'
  Properties:
    Bucket: !Ref MyBucket
    PolicyDocument:
      Statement:
        - Action:
            - 's3:*'
          Effect: Deny
          Resource: !Join
            - ''
            - - !GetAtt MyBucket.Arn
              - '/*'
          Principal: '*'
          Condition:
            StringNotLike:
              'aws:userId':
                - ${cf:external-stack.Role1}:*
                - ${cf:external-stack.Role2}:*
                - !Ref AWS::AccountId
            ArnLike:
              'aws:role':
                - arn:aws:iam::*:role/${self:service}-${self:custom.stage}-${self:custom.region}-lambdaRole
                - arn:aws:iam::*:role/another-lambda-${self:custom.stage}-${self:custom.region}-lambdaRole

Answer 1

所以逻辑是错误的。条件中的“匹配器”通过与连接在一起。所以这将让任何东西都可以访问。 :-) 啊。