Kombinieren Sie AWS S3-Bucket-Richtlinien so, dass sie sowohl Zulassen- als auch Verweigerungsregeln enthalten.

Question

Ich habe zwei Richtlinien und möchte sie in einer einzigen Bucket-Richtlinie zusammenführen.

Ist es möglich, Verweigern und Zulassen von Richtlinien in einer einzigen Richtlinie zusammenzuführen? In diesem Beispiel erlaubt die Richtlinie andere IP-Bereiche als 54.240.143.0/24?

Die Politik sollte nur den Zugriff vom Endpunkt und IP-Bereich VPC erlaubt 54.240.143.0/24

{ 
    "Version": "2012-10-17", 
    "Id": "S3PolicyId1", 
    "Statement": [ 
    { 
     "Sid": "IPAllow", 
     "Action": "s3:*", 
     "Effect": "Allow", 
     "Principal": "*", 
     "Resource": "arn:aws:s3:::examplebucket/*", 
     "Condition": { 
     "IpAddress": {"aws:SourceIp": "54.240.143.0/24"} 
     } 
    } 
    ] 
} 


{ 
    "Version": "2012-10-17", 
    "Id": "Policy1415115909152", 
    "Statement": [ 
    { 
     "Sid": "Access-to-specific-VPCE-only", 
     "Action": "s3:*", 
     "Effect": "Deny", 
     "Resource": ["arn:aws:s3:::examplebucket", 
        "arn:aws:s3:::examplebucket/*"], 
     "Condition": { 
     "StringNotEquals": { 
      "aws:sourceVpce": "vpce-1a2b3c4d" 
     } 
     }, 
     "Principal": "*" 
    } 
    ] 
} 

Answer 1

, warum Sie nicht Ihre zweite Politik umkehren und den Zustand zu dem ersten hinzufügen? Sie verweigern derzeit den Zugriff von überall mit Ausnahme eines VPCs. Fügen Sie stattdessen eine Bedingung hinzu, die den Zugriff auf diesen vcp in der ersten Richtlinie ermöglicht.