amazon-web-services - S3 策略允许写入存储桶但不允许从中读取，这可能吗？

Question

是否可以只允许用户对没有读取权限的存储桶进行写操作？
目标是让我所有的 EC2 实例将每个实例写入不同的存储桶，而不是让它们读取任何其他存储桶。我的所有实例都使用相同的 IAM 角色运行。

Answer 1

这当然是可能的。例如，我在使用 sync 时通常使用此只写策略将 EC2 实例备份到 S3。命令与 --delete转变:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::bucket-name"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:DeleteObject",
                "s3:AbortMultipartUpload",
                "s3:ListMultipartUploadParts",
                "s3:ListBucketMultipartUploads"
            ],
            "Resource": [
                "arn:aws:s3:::bucket-name/*"
            ]
        }
    ]
}