AWS S3 IAM策略多個存儲桶

Question

我們希望在存儲桶內創建邏輯文件夾，但不超過100個存儲桶。假設我們只有一個AWS賬戶，我們希望將這些上傳的文檔分發到這100個存儲桶中。對所有存儲桶執行IAM策略的最佳實踐是什麼？這樣有多個用戶，只有文檔創建者可以查看/刪除上傳的文檔？

Tks。

Answer 1

我不確定我是否完全理解您的用例。爲什麼你想在你的用戶中分發你的桶？

關於使用IAM爲「主目錄」的用戶的最佳實踐，您可以在AWS Docs發現：

{ 
    "Statement":[{ 
     "Effect":"Allow", 
     "Action":["s3:PutObject","s3:GetObject","s3:GetObjectVersion", 
     "s3:DeleteObject","s3:DeleteObjectVersion"], 
     "Resource":"arn:aws:s3:::my_bucket/home/user_name/*" 
    } 
    ] 
} 

Answer 2

由於mentioned by @Guy，每個用戶的文件夾是不是每個用戶水桶更好，但在任何情況下您可以將policy variable${aws:username}用於一個規則而不是多個規則。見example in their documentation。

在你的情況，我想你可以把它放在鬥阿爾恩，如：

{ 
    "Statement":[{ 
     "Effect":"Allow", 
     "Action":["s3:*"], 
     "Resource":"arn:aws:s3:::bucket-for-${aws:username}/*" 
    }] 
}