amazon-web-services - AWS IAM s3 :prefix

Question

我在 Terraform 中有一个 AWS IAM 策略，它是这样编写的:

            {
                "Effect": "Allow",
                "Action": [
                    "s3:ListBucket"
                ],
                "Resource": "arn:aws:s3:::bucket-name",
                "Condition": {
                    "StringLike": {
                        "s3:prefix": "${local.account_id}/*"
                    }
                }
            }

但是，我试图理解为什么要使用 s3:prefix。这不能通过以下方式完成:

            {
                "Effect": "Allow",
                "Action": [
                    "s3:ListBucket"
                ],
                "Resource": "arn:aws:s3:::bucket-name/${local.account_id}/*",
            }

Answer 1

s3:ListBucket仅适用于 Resource桶。在您的第二个示例中，您的 Resource是对象，而 s3:ListBucket 将不适用 .所以你的政策不会有效果。
相比之下，在第一个示例中 Resource是实际的桶，而不是对象。 s3:ListBucket将 工作 .此外，由于 Condition , s3:ListBucket将只允许上市 文件夹内容 ${local.account_id}在桶里。
讨论了其他此类场景 here .