S3 Bucket Policy, um den Zugriff auf bestimmte Benutzer zu ermöglichen und alle

Question

zu beschränken Ich suchte durch vorhandene Fragen und konnte keine Antwort finden. Daher hier posten.

Ich möchte den Zugriff auf einen S3-Bucket auf alle Benutzer beschränken, mit Ausnahme der wenigen Benutzer, die die S3-Bucket-Richtlinie verwenden. Ich verstehe, dass IAM-Richtlinien einfach zu verwalten und zu verwalten sind. Ich möchte keine Rollen und Gruppen für diesen speziellen Fall erstellen und möchte, dass S3-Bucket-Richtlinien erstellt werden.

Hier ist, was ich bisher versucht habe und es nicht den Zugriff auf Benutzer wie erwartet einschränkt.

{ 
    "Version": "2012-10-17", 
    "Id": "bucketPolicy", 
    "Statement": [ 
    { 

     "Effect": "Allow", 
     "Principal": { 
     "AWS": ["arn:aws:iam::1234567890:user/allowedusername"] 
     }, 
     "Action": "s3:*", 
     "Resource": ["arn:aws:s3:::examplebucket", 
        "arn:aws:s3:::examplebucket/*"] 
    }, 
    { 

     "Effect": "Deny", 
     "Principal": { 
     "AWS": ["arn:aws:iam::1234567890:user/denieduser"] 
     }, 
     "Action": "s3:*", 
     "Resource": ["arn:aws:s3:::examplebucket", 
        "arn:aws:s3:::examplebucket/*"] 
    } 

    ] 
} 

Ich habe versucht, alles wie unten zu leugnen, aber die explizite deny Vorrang vor lassen und ich bin selbst die Schaufel nicht in der Lage jetzt zugreifen ;-(Das ist ein weiteres Problem, ich habe

{ 

      "Effect": "Deny", 
      "Principal": { 
      "AWS": ["*"] 
      }, 
      "Action": "s3:*", 
      "Resource": ["arn:aws:s3:::examplebucket", 
         "arn:aws:s3:::examplebucket/*"] 
     } 

Answer 1

zu erreichen was Sie wollen, verwenden Sie eine explizite mit einem „NotPrincipal“ Politik Element verweigern. die folgende Politik keine andere Benutzer sicherstellen, werden die Eimer andere als die Nutzer in der „NotPrincipal“ Element aufgelistet zugreifen können.

{ 
      "Id": "bucketPolicy", 
      "Statement": [ 
        { 
          "Action": "s3:*", 
          "Effect": "Deny", 
          "NotPrincipal": { 
            "AWS": [ 
              "arn:aws:iam::1234567890:user/alloweduser" 
            ] 
          }, 
          "Resource": [ 
            "arn:aws:s3:::examplebucket", 
            "arn:aws:s3:::examplebucket/*" 
          ] 
        } 
      ], 
      "Version": "2012-10-17" 
    }