amazon-web-services - 如何在 IAM 策略中的两个条件之间应用 OR 条件？

Question

以下是我的 IAM 政策:

{​​​​​
    "Version": "2012-10-17",
    "Statement": [
        {​​​​​
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "s3:GetObject*",
            "Resource": "arn:aws:s3:::*",
            "Condition": {​​​​​
                "StringEquals": {​​​​​
                    "s3:ExistingObjectTag/custom:kypha": "${​​​​​aws:PrincipalTag/custom:kypha}​​​​​",
                    "s3:ExistingObjectTag/custom:pharma": "${​​​​​aws:PrincipalTag/custom:pharma}​​​​​"
                }​​​​​
            }​​​​​
        }​​​​​
    ]
}​​​​​

默认情况下，AWS 在两个条件(“s3:ExistingObjectTag/....”)之间应用 AND。但是我要求它们之间的 OR 是这样的，如果任何条件满足，那么它将允许特定的操作。我怎么能做到这一点？任何建议。

Answer 1

您需要两个单独的声明 作为您的 key s3:ExistingObjectTag/custom:kypha和 s3:ExistingObjectTag/custom:pharma是不同的:

{​​​​​
    "Version": "2012-10-17",
    "Statement": [
        {​​​​​
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "s3:GetObject*",
            "Resource": "arn:aws:s3:::*",
            "Condition": {​​​​​
                "StringEquals": {​​​​​
                    "s3:ExistingObjectTag/custom:kypha": "${​​​​​aws:PrincipalTag/custom:kypha}​​​​​"}​​​​​"
                }​​​​​
            }​​​​​
        },
        {​​​​​
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "s3:GetObject*",
            "Resource": "arn:aws:s3:::*",
            "Condition": {​​​​​
                "StringEquals": {
                    "s3:ExistingObjectTag/custom:pharma": "${​​​​​aws:PrincipalTag/custom:pharma}​​​​​"
                }​​​​​
            }​​​​​
        }        
        ​​​​​
    ]
}​​​​​