permissions - Amazon S3 存储桶策略拒绝对除一名用户以外的所有用户的 putObject 权限

Question

我的目标是允许一个用户将对象放入 s3 存储桶中。我想过应用存储桶策略。我知道您不能拒绝所有用户的 PutObjects，然后通过对所需用户的允许来覆盖它。我曾希望使用条件“ArnNotEquals”从拒绝策略声明中排除单个用户:

"Statement": [
    {
        "Sid": "allow only OneUser to put objects",
        "Effect": "Deny",
        "Principal": {
            "AWS": "*"
        },
        "Action": "s3:PutObject",
        "Resource": "arn:aws:s3:::myBucket/*",
        "Condition": {
            "ArnNotEquals": {
                "aws:SourceArn": "arn:aws:iam::123456789012:user/OneUser"
            }
        }
    }
] 

但是，这会导致对所有用户拒绝 PutObjects。我在正确的轨道上吗？是否有我可以为此制定的存储桶策略？还是我需要查看其他地方，例如 ACL ( Access Control List )？

Answer 1

这样做的方法是使用 NotPrincipal 策略元素。它允许您将策略应用于除特定列表之外的所有原则。您的政策将变为:

"Statement": [
    {
        "Sid": "allow only OneUser to put objects",
        "Effect": "Deny",
        "NotPrincipal": {
            "AWS": "arn:aws:iam::123456789012:user/OneUser"
        },
        "Action": "s3:PutObject",
        "Resource": "arn:aws:s3:::myBucket/*"
    }
]