amazon-web-services - 第二个的目的是什么(Effect :Deny, Condition :Null) Statement of this S3 bucket policy?

Question

阅读本文 doc它给出了强制加密存储桶的示例:

{
  "Version": "2012-10-17",
  "Id": "PutObjPolicy",
  "Statement": [
    {
      "Sid": "DenyIncorrectEncryptionHeader",
      "Effect": "Deny",
      "Principal": "*",
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::YourBucket/*",
      "Condition": {
        "StringNotEquals": {
          "s3:x-amz-server-side-encryption": "AES256"
        }
      }
    },
    {
      "Sid": "DenyUnEncryptedObjectUploads",
      "Effect": "Deny",
      "Principal": "*",
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::YourBucket/*",
      "Condition": {
        "Null": {
          "s3:x-amz-server-side-encryption": "true"
        }
      }
    }
  ]
}

第二个条件实际上在做什么，为什么有必要，对我来说，看起来我只需要第一个？我不明白 NULL 在这里做什么。

Answer 1

中的 Null 条件条件块如果 s3:x-amz-server-side-encryption key 评估为真值为 null .此规则正在检查缺少的 header 。

在此策略的第一条规则中，比较加密值。为了进行这种比较，必须存在标题。第二条规则检测到报头丢失，从而强制进行加密选择。

概括:

第一条规则检查加密头的值。

第二条规则检查 header 是否存在。