amazon-web-services - AWS IAM - 您可以在一个值中使用多个通配符 (*)

Question

在所有 IAM 策略示例中，他们都提到使用通配符 (*) 作为“stuff”的占位符。但是，示例总是在最后使用它们，和/或仅使用一个通配符进行演示(例如，使用 .../xyz/* 列出文件夹“xyz”中的所有内容)。

我找不到任何关于使用多个通配符的明确信息，例如匹配多个存储桶中的子文件夹中的任何内容:

arn:aws:s3:::mynamespace-property*/logs/*

允许某些东西看到任何 log跨“生产”( mynamespace-property-prod)和“沙盒”( mynamespace-property-sand)存储桶的文件。

Answer 1

不确定，但“突然”(你知道我在说什么)它在 policy simulator 中工作。和:

策略 1:“允许对任何存储桶的特定 S3 权限” (例如编辑角色)

策略 2:“拒绝所有 S3 操作，除非在跨存储桶的用户文件夹中” (即只能看到他们的文件)

其中“政策 2”是:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ExplicitlyDenyAnythingExceptOwnNamedFolder",
            "Action": [
                "s3:*"
            ],
            "Effect": "Deny",
            "NotResource": [
                "arn:aws:s3:::mynamespace-property*/subfolder/${aws:username}/*"
            ]
        }
    ]
}

作为旁注，请注意 arn:aws:s3:::mynamespace-property*/${aws:username}/* (没有明确的子文件夹)将匹配有和没有“干预”子文件夹:

arn:aws:s3:::mynamespace-property-suffix/subfolder/theuser/files..."

arn:aws:s3:::mynamespace-property-suffix/theuser/files..."